Kurz gesagt: Kaum eine Branche sammelt über die eigene Website so viele Personendaten wie die Immobilienverwaltung. Ein Anmeldeformular für eine Mietwohnung fragt Einkommen, Arbeitgeber, Zivilstand, Betreibungsauskunft, manchmal Haustiere und Musikinstrumente. Genau dafür ist die Informationspflicht gemacht.
Von 15 geprüften Schweizer Websites aus Immobilien und Verwaltung hatten 5 keine lesbare Datenschutzerklärung, und bei allen 15 auswertbaren Seiten mit Erklärung fand der Scan mindestens einen Punkt zum Nachbessern. Der Notendurchschnitt war mit 4.53 von 10 der zweitniedrigste aller geprüften Branchen.
Was das Anmeldeformular auslöst
Wer ein Formular anbietet, in dem Interessenten Einkommen und Betreibungsauskunft angeben, informiert vorher darüber:
- wozu die Angaben dienen (Auswahl unter Bewerbungen)
- wer sie sieht: die Verwaltung, die Eigentümerschaft, allenfalls eine Auskunftei
- wie lange sie bleiben, wenn es nicht klappt. Das ist der Punkt, an dem fast alle Vorlagen schweigen: Unterlagen abgelehnter Bewerbungen dürfen nicht unbegrenzt liegen bleiben.
Betreibungsauskünfte sind Daten über die wirtschaftliche Lage, nicht über Strafverfolgung. Sie zählen darum nicht automatisch zu den besonders schützenswerten Daten nach Art. 5 lit. c revDSG. Heikel sind sie trotzdem, und der Grundsatz der Verhältnismässigkeit gilt: Was für die Auswahl nicht nötig ist, wird nicht verlangt.
Zwei Rollen, wie beim Treuhand
Für die Bewirtschaftung handelst du im Auftrag der Eigentümerschaft. Für deine eigene Website und die Bewerbungen, die dort eingehen, bist du selbst verantwortlich. Die Erklärung auf der Website beschreibt den zweiten Teil.
Was auf den Websites läuft
Objektportale, Kartendienste auf jeder Objektseite, oft ein Bewerbungsformular über ein Fremdsystem und eine Statistik. Kartendienste sind der häufigste unbemerkte Auslandtransfer, in meiner Erhebung liefen sie auf 5% aller geprüften Seiten und praktisch nie stehen sie in der Erklärung.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.