1. Die Grundregel: so wenig wie möglich
Sie dürfen die Daten verarbeiten, die für die Anbahnung und Erfüllung des Mietvertrags erforderlich sind. „Erforderlich" ist dabei streng zu lesen: Was Sie nicht brauchen, um den Vertrag zu erfüllen, eine Forderung durchzusetzen oder eine gesetzliche Pflicht zu erfüllen, erheben Sie nicht.
Ein praktikables Raster:
| Datum | Zweck | Bewertung |
|---|---|---|
| Name, Anschrift | Vertragspartner bestimmen, Forderung durchsetzen | erforderlich |
| Geburtsdatum | Mindestalter, Identität | in der Regel erforderlich |
| Ausweisnummer | Identität nachvollziehbar machen | vertretbar, sparsam einsetzen |
| Führerscheindaten | Fahrerlaubnis nachweisen | bei motorisierten Fahrzeugen erforderlich |
| Telefon, E-Mail | Abwicklung, Rückgabe, Störungen | erforderlich |
| Ausweis- oder Führerscheinkopie | pauschale Absicherung | heikel, siehe unten |
| Beruf, Arbeitgeber | keiner | nicht erheben |
| Zahlungsdaten | Miete und Kaution | über Zahlungsdienstleister, nicht selbst speichern |
Je schlanker Ihr Formular, desto weniger Risiko — und desto schneller geht die Ausgabe.
2. Darf ich den Führerschein kopieren?
Das ist die meistgestellte Frage in diesem Bereich, und die ehrliche Antwort lautet: Eine Kopie ist kein Selbstläufer. Für den Zweck, den Sie verfolgen — festzustellen, dass eine gültige Fahrerlaubnis vorliegt — reicht in aller Regel die Sichtprüfung. Was danach bleibt, ist ein Vermerk im Vertrag: Klasse, Nummer, ausstellende Behörde, Gültigkeit, Datum der Prüfung, Kürzel des Mitarbeiters.
Praxistaugliches Vorgehen:
- Dokument im Original vorlegen lassen, nicht als Foto auf dem Telefon.
- Die für den Vertrag nötigen Angaben abschreiben, nicht ablichten.
- Den Abgleich dokumentieren, weil Ihr Versicherer diesen Nachweis erwarten kann.
- Keine Sammlung von Scans anlegen. Ein Ordner voller Ausweisbilder ist genau die Datenmenge, die Sie im Schadensfall einer Datenpanne teuer zu stehen kommt.
Für Personalausweise gelten zusätzliche Sonderregeln zur Anfertigung von Kopien. Wenn Sie meinen, in bestimmten Konstellationen auf eine Kopie angewiesen zu sein, lassen Sie das vorher prüfen, statt es stillschweigend zur Hausregel zu machen. Der Vermerk im Mietvertrag ist der sicherere Weg, siehe Mietvertrag für den Anhängerverleih.
3. Was Sie schriftlich haben müssen
Auch ein kleiner Betrieb kommt um vier Dokumente nicht herum:
- Datenschutzerklärung auf der Website und als Information bei Vertragsschluss: welche Daten, wozu, wie lange, welche Rechte, wer ist Ansprechpartner.
- Verzeichnis von Verarbeitungstätigkeiten: eine Übersicht Ihrer Datenverarbeitungen. Für eine Vermietung passt das auf wenige Seiten.
- Verträge zur Auftragsverarbeitung mit allen Dienstleistern, die in Ihrem Auftrag Daten verarbeiten — Software, Hosting, Buchhaltung, E-Mail-Versand, Zahlungsabwicklung.
- Technische und organisatorische Maßnahmen: wer hat Zugriff, wie sind Geräte gesichert, was passiert bei Verlust eines Telefons.
Ob Sie eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen müssen, hängt unter anderem von der Zahl der ständig mit Datenverarbeitung beschäftigten Personen ab. Die Schwellen ergeben sich aus dem deutschen Recht und haben sich in der Vergangenheit geändert — prüfen Sie den aktuellen Stand für Ihre Betriebsgröße.
4. Aufbewahren und löschen
Zwei Fristen laufen nebeneinander, und beide muss man kennen:
- Aufbewahrungspflicht: Verträge, Rechnungen und Belege unterliegen handels- und steuerrechtlichen Fristen. Diese Unterlagen dürfen und müssen Sie über Jahre vorhalten.
- Löschpflicht: Alles, was für keinen Zweck mehr erforderlich ist, muss weg. Der Kundendatensatz einer einmaligen Vermietung von vor sechs Jahren gehört nicht dauerhaft in Ihre Kartei, nur weil er dort schon steht.
Legen Sie ein einfaches Löschkonzept an: je Datenart ein Zweck, eine Frist, eine verantwortliche Person. Ein Satz je Zeile reicht. Wichtig ist, dass es existiert und dass jemand es tatsächlich anwendet — einmal jährlich als Termin im Kalender ist besser als ein perfektes Konzept, das niemand ausführt.
5. Fotos, Unterschriften und Protokolle
Übergabeprotokolle enthalten mehr personenbezogene Daten, als man denkt: Unterschriften, Kennzeichen, gelegentlich Personen im Bildhintergrund, dazu Zeit und Ort.
Praktische Regeln:
- Fotografieren Sie das Fahrzeug, nicht den Kunden.
- Achten Sie darauf, dass keine unbeteiligten Personen erkennbar sind.
- Bewahren Sie Protokolle so lange auf, wie Ansprüche daraus möglich sind, und löschen Sie danach.
- Speichern Sie Fotos dort, wo sie zur Buchung gehören, nicht auf privaten Telefonen von Mitarbeitenden.
Der letzte Punkt ist in der Praxis der wichtigste: Fotos auf Privatgeräten sind ein Datenschutzproblem und gleichzeitig der Grund, warum bei der Rückgabe der Vergleich fehlt, siehe Übergabeprotokoll für Mietfahrzeuge.
6. Ortung von Fahrzeugen
GPS-Tracker in Mietfahrzeugen sind verbreitet und gleichzeitig heikel, weil sie Bewegungsprofile erzeugen. Ohne abschließende rechtliche Bewertung gelten drei Leitplanken:
- Transparenz. Eine heimliche Ortung ist kaum zu rechtfertigen. Weisen Sie im Vertrag und in der Datenschutzerklärung ausdrücklich darauf hin.
- Zweckbindung. Diebstahlschutz und Wiederauffinden sind nachvollziehbare Zwecke; die laufende Kontrolle, wo ein Kunde am Wochenende war, ist es nicht.
- Sparsamkeit. Kurze Speicherfristen, enger Zugriff, keine Auswertung ohne Anlass.
Wenn Sie Ortung einsetzen wollen, lassen Sie die Ausgestaltung einmal prüfen. Der Aufwand ist überschaubar, das Risiko ohne Prüfung nicht.
7. Werbung an ehemalige Kunden
Eine Bestandskundenansprache per E-Mail ist unter engen Voraussetzungen möglich, verlangt aber sauberes Vorgehen: Hinweis auf die Widerspruchsmöglichkeit bei der Erhebung und in jeder Nachricht, Beschränkung auf ähnliche Leistungen, funktionierender Abmeldeweg. Für alles darüber hinaus brauchen Sie eine dokumentierte Einwilligung. Newsletter-Adressen aus Mietverträgen einfach in ein Versandwerkzeug zu kippen, ist der klassische Fehler — und der, der am schnellsten Beschwerden produziert.
8. Wenn etwas schiefgeht
Ein verlorenes Telefon, eine falsch adressierte E-Mail mit Kundendaten, ein gehackter Zugang: Datenpannen passieren auch in kleinen Betrieben. Für meldepflichtige Vorfälle gilt eine kurze Frist gegenüber der Aufsichtsbehörde, üblicherweise 72 Stunden ab Kenntnis; bei hohem Risiko sind zusätzlich die Betroffenen zu informieren.
Bereiten Sie drei Dinge vor, solange nichts brennt:
- Wer entscheidet, ob gemeldet wird?
- Welche Aufsichtsbehörde ist zuständig und wie erreicht man sie?
- Wo steht die Liste der Systeme, in denen Kundendaten liegen?
Diese halbe Seite Papier ist im Ernstfall mehr wert als jede Richtlinie.
9. Kurze Checkliste für die Praxis
- Nur erheben, was der Vertrag braucht.
- Ausweis und Führerschein sichten, Angaben vermerken, nicht kopieren.
- Datenschutzerklärung aktuell halten und bei Vertragsschluss aushändigen.
- Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen.
- Zugriffe auf Kundendaten auf die Personen begrenzen, die sie brauchen.
- Löschfristen definieren und einmal jährlich anwenden.
- Fotos und Protokolle im System halten, nicht auf Privatgeräten.
- Vorgehen bei Datenpannen einmal aufschreiben.
Womit Flotello dabei hilft
Flotello speichert bewusst keine Ausweis- oder Führerscheinscans: Der Kundendatensatz enthält die Angaben, die der Vertrag braucht, und der Abgleich wird vermerkt statt abgelichtet. Fotos, Protokolle und Verträge liegen bei der Buchung statt auf Privatgeräten, und Rollen steuern, wer welche Daten sieht. Wie Rollen und Zugriffe funktionieren, zeigt Team und Rollen; ausprobieren können Sie das System 7 Tage kostenlos.