ZAP 12/2018, Betriebskostenabrechnung: Auswirkungen der ... / III. Fertigung der Betriebskostenabrechnung

1. Auftragsdatenverarbeitungsverhältnis

Immer dann, wenn die Betriebskostenabrechnung nicht vom Vermieter selbst, sondern in seinem Auftrag von Dritten gefertigt und verschickt wird, liegt ein Auftragsdatenverarbeitungsverhältnis vor (Art. 4 Nr. 8 DSGVO). Dies ist für gewerbliche Unternehmen genauso anzunehmen wie für den Miethaus- und WEG-Verwalter oder für örtliche Dependancen von Haus & Grund. In allen Fällen bedarf es dann neben dem eigentlichen Auftrag auch parallel eines Auftragsdatenverarbeitungsvertrags (Art. 28 DSGVO, § 62 BDSG-2018). Dieser Vertrag muss folgenden Mindestinhalt haben:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung,
• Art der personenbezogenen Daten,
• Kategorien davon betroffener Personen,
• Rechte und Pflichten des Verantwortlichen,
• die klare Anweisung, dass ein Auftragsdatenverarbeiter nur aufgrund dokumentierter Weisungen des Verantwortlichen handeln darf,
• die Verpflichtung zur Vertraulichkeit der Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind,
• Gewährleistung der Einhaltung der Bestimmungen über die Rechte der betroffenen Personen,
• die Bestimmung, dass alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl des Datenverantwortlichen zurückzugeben, zu löschen und als Kopie zu vernichten sind, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,
• eine Bestimmung, die klarstellt, dass dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen sind,
• die Zulassung von Überprüfungen durch den Datenverantwortlichen oder durch einen von diesem beauftragten Prüfer,
• Gewährleistung der Sicherheit der Datenverarbeitung.

Hinweis:

Der Auftragsverarbeiter selbst unterliegt den in Art. 28 DSGVO aufgelisteten datenschutzrechtlichen Pflichten. So muss er insbesondere ein Verarbeitungsverzeichnis führen (Art. 30 Abs. 2 DSGVO), die Sicherheit der Verarbeitung gewährleisten und einen Datenschutzbeauftragten benennen, soweit dies gesetzlich erforderlich oder soweit er sonst bestellt ist (§ 38 BDSG-2018).

2. Information des Mieters über erhobene und verarbeitete Daten

Betriebskostenabrechnungen werden denknotwendig entweder vom Vermieter oder in dessen Auftrag für ihn durch Dritte erstellt, nicht vom Mieter selbst, dessen personenbezogene Daten in dieser Abrechnung verarbeitet werden. Weil dessen personenbezogene Daten nicht von ihm selbst verarbeitet werden, muss der Mieter von der Datenerhebung informiert werden (Art. 14 DSGVO). Dies muss automatisch erfolgen und nicht erst auf Aufforderung des Mieters. Diese Informationspflicht gilt gegenüber allen Mietern, z.B. Mitbewohner in einem Mehrfamilienhaus, unabhängig von ihrem Status als Mieter. Denn in dem Moment, in dem ein Mieter, Adressat einer Betriebskostenabrechnung, Belegeinsicht auch in Bezug auf seine Mitbewohner und Nachbarn im selben Haus verlangt, werden deren Verbrauchsdaten weitergegeben. Zu informieren ist im Zeitpunkt der Erhebung personenbezogener Daten über:

• Namen und Kontaktdaten des Verantwortlichen und – wenn bestellt – des Datenschutzbeauftragten,
• Zweck der Datenverarbeitung,
• Rechtsgrundlage der Datenverarbeitung,
• Dauer der Datenspeicherung,
• ggf. Empfänger oder Kategorien von Empfängern der personenbezogenen Daten,
• Hinweise auf Auskunfts-, Beschwerde- und Widerspruchsrecht, Recht auf Löschung sowie andere Betroffenenrechte,
• Kategorien der personenbezogenen Daten, die verarbeitet werden, wenn die Datenerhebung nicht bei der betroffenen Person erfolgt.

Ein – unverbindlicher – Formulierungsvorschlag könnte wie folgt lauten:

Datenschutzinformation nach Art. 14 Datenschutz-Grundverordnung (DSGVO)

Sehr geehrte(r) Frau/Herr (...),

in unseren gemeinsamen Mietvertrag über die von Ihnen bewohnte Wohnung sind die anfallenden Betriebskosten auf Sie als Mieter umgelegt und die monatliche Vorauszahlung des Pauschalbetrags, über den nach Ende der Abrechnungsperiode abgerechnet werden muss, vereinbart. Damit die Abrechnung gefertigt werden kann, sind Ihre Verbrauchsdaten, z.B. in Form des Heizungsverbrauchs und des Wasserverbrauchs, zu erheben. Damit haben wir die Firma (...) (Name, Adresse) beauftragt. Zur Ausführung des Auftrags und zur Erfassung Ihrer Verbrauchsdaten ist es notwendig, die in den Heizkostenverteilern/Wasserzählern gespeicherten Werte abzulesen, zu speichern und zur Fertigung der Betriebskostenabrechnung zu verarbeiten.

Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 Buchst. b DSGVO (Vertragserfüllung).

Verantwortlicher im Sinne der DSGVO ist (...) (Vorname, Name, Straße, Postleitzahl, Ort, E-Mail-Adresse).

Auftragsdatenverarbeiter und Empfänger dieser Daten ist die Firma (...) (Name, Adresse, Postleitzahl, Ort).

Ist die mietrechtliche Einwendungsfrist von zwölf Monaten nach Zugang der Betriebskostenabrechnung verstrichen (§ 556 Abs. 3 S. 5 BGB) und haben Sie während des Fristlaufs keine Einwendungen gegen die Abrechnung geltend gemacht, werden die erhobenen Daten gelöscht.

Ihre datenschutzrechtlichen Auskunfts-, Beschwerde-, Berichtigungs- und sonstigen Rechte kennen Sie bereits als Inhalt unserer einschläg...