Die DSGVO verlangt nicht nur, dass man sich richtig verhält - sie verlangt, dass man es belegen kann. Für Kleinvermieter klingt das nach Bürokratie. Der Aufwand ist überschaubar, wenn man weiß, worauf es tatsächlich ankommt.
Die Grundsätze des Art. 5 Abs. 1 DSGVO - Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität - gelten ohnehin. Absatz 2 fügt hinzu, dass der Verantwortliche ihre Einhaltung nachweisen können muss.
Der Unterschied wird bei einer Beschwerde sichtbar. „Wir haben die Daten nur für die Abrechnung genutzt" ist eine Behauptung. Ein Blatt, auf dem steht, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage wie lange gespeichert werden, ist ein Nachweis.
Das passt bei den meisten privaten Vermietern auf zwei Seiten. Es einmal zu schreiben, dauert einen Nachmittag - und es ist genau das, was im Ernstfall gefragt wird.
Es heißt nicht, dass jeder Vermieter einen Datenschutzbeauftragten braucht - die Schwellen dafür erreicht ein privater Vermieter praktisch nie. Es heißt auch nicht, dass man jede Datenverarbeitung protokollieren muss.
Und es heißt nicht, dass man vom Mieter eine Einwilligung braucht. Die Verarbeitung für die Abrechnung stützt sich auf die Vertragserfüllung - siehe Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligungserklärung wäre hier sogar der schlechtere Weg, weil sie widerrufen werden kann.
Sobald Daten in einer Cloud verarbeitet werden, kommen Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen des Anbieters und gegebenenfalls Drittlandsübermittlungen dazu - alles nachweispflichtig.
Wer die Abrechnung auf dem eigenen Rechner erstellt und die Daten dort belässt, hat diese Kette nicht. Das ist kein Freibrief, aber es reduziert den Nachweisaufwand erheblich.