Bonitätsprüfung in der Vermietung: SCHUFA und Bonify rechtssicher einsetzen — Einwilligung, Retention, Provider-Strategy

Die Rechnung eines Vermieters, der auf eine Bonitätsprüfung verzichtet hat

Ein privater Vermieter mit sechs Eigentumswohnungen im Bestand vermietet im Februar 2025 eine 74-Quadratmeter-Wohnung zur Kaltmiete von 980 Euro plus 220 Euro Nebenkosten. Der Interessent macht einen sympathischen Eindruck, legt eine Gehaltsabrechnung über 3.400 Euro netto vor und unterschreibt den Vertrag ohne weitere Prüfung. Im Juni bleibt die erste Miete aus. Im Juli die zweite. Im August folgt eine Teilzahlung von 400 Euro. Im September wird der Mieter unauffindbar. Die fristlose Kündigung wird im Oktober ausgesprochen, die Räumungsklage im November eingereicht, der Räumungstitel im Februar 2026 erwirkt — die Wohnung steht im März leer.

Die Bilanz: Vier Monatsmieten Ausfall (4.800 Euro), Räumungskosten und Gerichtsgebühren (rund 1.800 Euro), Anwaltskosten (1.200 Euro), Renovierung nach beschädigter Übergabe (etwa 600 Euro). In Summe ein Schaden von rund 8.400 Euro. Eine SCHUFA-Bonitätsauskunft hätte 24,95 Euro gekostet und bereits vor Vertragsschluss zwei Negativ-Einträge gezeigt — eine titulierte Forderung aus einer früheren Mietsache und ein laufendes Inkasso-Verfahren.

Bonitätsprüfung ist kein juristisches Detail. Sie ist die wichtigste vorvertragliche Risikoabschätzung, die einem Vermieter zur Verfügung steht. Die Linie zwischen erlaubter und unerlaubter Datenerhebung ist allerdings dicht gezogen — Bundesgerichtshof, Bundesdatenschutzgesetz und DSGVO setzen klare Grenzen. Dieser Beitrag beschreibt, wie ImmoGenio die Prüfung über SCHUFA und Bonify als austauschbare Provider abbildet, welche Rolle die Einwilligung spielt und warum die 90-Tage-Retention nicht verhandelbar ist.

Was darf der Vermieter eigentlich fragen?

Der Vermieter steht in einer juristischen Spannung. Er trägt das wirtschaftliche Risiko des Mietausfalls. Gleichzeitig ist der Mietinteressent eine Person mit Grundrechtsschutz, dessen informationelle Selbstbestimmung der Vermieter nicht beliebig durchbrechen darf. Aus dieser Spannung ergibt sich ein abgestuftes Fragerecht, das die Rechtsprechung über Jahre konkretisiert hat.

Die Leitentscheidung stammt aus dem Bundesgerichtshof vom 9. April 2014 (Az. VIII ZR 107/13). Der Senat hat klargestellt: Fragen nach Einkommen, bisherigen Mietverhältnissen und der Bereitschaft zur Selbstauskunft sind zulässig, sofern sie einen sachlichen Bezug zur Vertragsanbahnung haben. Fragen nach Familienplanung, religiöser Zugehörigkeit oder Herkunft sind unzulässig — sie verletzen das Persönlichkeitsrecht und können nach § 19 Abs. 1 Nr. 1 AGG einen Diskriminierungsanspruch begründen. Schon das ältere Urteil aus 2009 (BGH, Urteil vom 9. April 2009, VIII ZR 248/08, NJW 2009, 2228) hatte den Grundsatz formuliert: Der Vermieter darf nicht zu allem fragen, sondern nur zu dem, was für die konkrete Vertragsentscheidung erforderlich ist.

Auf dieser Rechtsprechungs-Linie liegt auch die Datenerhebung. Die Rechtsgrundlage für die Verarbeitung von Bonitätsdaten ist primär Art. 6 Abs. 1 lit. a DSGVO — die Einwilligung des Betroffenen. Eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) wird in der Literatur diskutiert, ist in der Praxis aber riskant: Der EuGH hat im SCHUFA-Urteil vom 7. Dezember 2023 (C-634/21) festgestellt, dass automatisierte Bonitätsbewertungen den Anforderungen des Art. 22 DSGVO unterliegen. Wer auf die Einwilligung verzichtet und sich allein auf berechtigtes Interesse stützt, trägt das Risiko der Aufsichtsbehörde.

Hinzu kommt die Pflicht zur transparenten Information nach Art. 13 DSGVO. Der Interessent muss vor der Datenerhebung wissen, wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Eine pauschale Einwilligung „für alle Zwecke der Hausverwaltung” reicht nicht — sie ist nach Art. 7 Abs. 2 DSGVO unwirksam, wenn die Zwecke nicht konkret benannt sind.

Praktisch heißt das: Eine Bonitätsprüfung ist erlaubt, aber nur nach Einwilligung, mit klarer Zweckbindung und befristeter Speicherung. Wer eine pauschale Klausel im Mietinteressenten-Formular versteckt, hat im Streitfall vor der Aufsichtsbehörde wenig zu erwarten.

Zwei Anbieter, zwei Wege: SCHUFA und Bonify im Vergleich

In Deutschland dominieren zwei Anbieter den Bonitätsmarkt für die Wohnungsvermietung. SCHUFA Holding AG bedient den B2B-Kanal über ein Vertragsprodukt namens „SCHUFA Bonitätsauskunft Vermieter”. Bonify (Forteil GmbH, übernommen 2023 durch SCHUFA) bedient den Verbraucher-Kanal mit einem Selfcheck-Modell.

Die beiden Wege unterscheiden sich grundlegend in der Mechanik, im Datenfluss und im Datenschutz-Profil. Die folgende Tabelle stellt die wichtigsten Unterschiede gegenüber.

Die strukturelle Konsequenz ist erheblich. Bei SCHUFA ist der Vermieter Verantwortlicher der Datenverarbeitung — er trägt die volle Pflichtenlast aus DSGVO und BDSG. Bei Bonify verschiebt sich der Verantwortliche teilweise: Der Verbraucher hat seinen eigenen Bericht angefordert und gibt ihn freiwillig weiter; der Vermieter empfängt ein Ergebnis, das nicht in seiner Anfrageinitiative steht. Das reduziert die Verantwortlichen-Pflichten, ersetzt sie aber nicht: Die anschließende Speicherung des Ergebnisses unterliegt weiterhin Art. 5 und 6 DSGVO.

Bonify ist für kleine und mittlere Vermieter attraktiv, weil keine SCHUFA-Vertragsbeziehung notwendig ist und der Verbraucher den vollen Bericht teilen kann — anders als bei SCHUFA, wo der Vermieter nur einen aggregierten Score und eine Ampelfarbe erhält. SCHUFA wiederum bietet höhere Verlässlichkeit für institutionelle Vermieter mit Tausenden Anfragen pro Jahr und ein etabliertes Verfahren, das in der Wohnungswirtschaft seit Jahrzehnten Standard ist.

Wie ImmoGenio die Bonitätsprüfung abbildet

Die Architektur folgt einem austauschbaren Provider-Pattern. Eine Schnittstelle IBonitaetProvider definiert die fachliche Operation; konkrete Implementierungen kapseln den Provider-spezifischen API- oder Workflow-Aufruf. Aktuell sind zwei Implementierungen produktiv: SchufaProvider und BonifyProvider. Künftige Anbieter — etwa CRIF Bürgel oder Creditreform — können ohne Eingriffe in die Aufruferseite ergänzt werden.

Provider-Strategy mit IBonitaetProvider

Die Schnittstelle umfasst drei Operationen: anfragen(interessentId, einwilligungId) startet den Vorgang, statusAbfragen(anfrageId) liest den aktuellen Zustand, ergebnisAbrufen(anfrageId) lädt den finalen Bericht. Jede Implementierung kapselt die Provider-Eigenheiten — bei SCHUFA ist es ein REST-Call gegen die B2B-API mit Bearer-Token-Authentifizierung, bei Bonify ist es das Erzeugen eines Einladungslinks plus Webhook-Empfang nach Verbraucher-Bestätigung.

Der aufrufende Code im Lead-Kanban kennt nur die Schnittstelle. Ob im Hintergrund SCHUFA, Bonify oder ein künftiger Anbieter angesprochen wird, entscheidet die Provider-Konfiguration des Mandanten. Wer beide Provider parallel betreibt, kann pro Anfrage auswählen — etwa SCHUFA für institutionelle Standard-Anfragen, Bonify für Interessenten ohne SCHUFA-Vertragsbasis.

Anfrage-Lifecycle und Statuswechsel

Jede Bonitätsanfrage durchläuft einen klar definierten Lebenszyklus mit vier Zuständen.

Der Status angefragt beschreibt den Initialzustand — die Einwilligung liegt vor, die Anfrage ist im System angelegt, der Provider wurde aber noch nicht kontaktiert. Sobald der erste Provider-Call ausgeführt ist und entweder ein Einladungslink (Bonify) oder eine Vorgangs-ID (SCHUFA) zurückkommt, wechselt der Status auf link_verschickt. Bei Bonify wird zugleich die Einladungs-E-Mail an den Interessenten ausgelöst.

Mit Eingang des Provider-Ergebnisses — bei SCHUFA als REST-Response, bei Bonify als Webhook nach Verbraucher-Freigabe — wechselt der Status auf ergebnis_vorhanden. Das Bonitätsergebnis selbst (Score, Negativ-Einträge, Ampelfarbe) wird gespeichert und dem Lead-Kanban zur Anzeige gestellt. Erst dieser Status ermöglicht die fachliche Entscheidung über den Vertragsabschluss.

Nach Ablauf der 90-Tage-Retentionsfrist wechselt der Status auf abgelaufen. Die eigentlichen Bonitätsdaten werden zu diesem Zeitpunkt gelöscht; die Metadaten der Anfrage (wer, wann, mit welchem Provider) bleiben für die Auditierung nach Art. 5 Abs. 2 DSGVO erhalten.

Einwilligungs-Gate vor jeder Anfrage

Eine Bonitätsanfrage lässt sich im System nicht auslösen, solange das Feld einwilligung_erteilt_am leer ist. Die Backend-Validierung blockt jeden API-Aufruf ohne Einwilligungs-Zeitstempel mit einem 422-Fehler. Der Zeitstempel wird zusammen mit dem Volltext der Einwilligungserklärung und einer Hash-Signatur im Audit-Log abgelegt — so lässt sich später nachweisen, welcher Einwilligungstext zum Zeitpunkt der Anfrage gegolten hat.

Die Einwilligung umfasst drei Aspekte: Zweck (Bonitätsprüfung im Rahmen der Vermietungs-Vertragsanbahnung), Empfänger (SCHUFA oder Bonify), Speicherdauer (90 Tage nach Ergebnis-Eingang). Der Interessent erhält nach Art. 7 Abs. 3 DSGVO ein Widerrufsrecht, das im Portal über einen eigenen Endpunkt umgesetzt ist — beim Widerruf werden die Bonitätsdaten vor Ablauf der Retentionsfrist gelöscht und die Anfrage gesperrt.

Retention-Cron mit 90-Tage-Default

Ein Hintergrund-Job läuft täglich um 02:30 Uhr und prüft alle Anfragen im Status ergebnis_vorhanden. Sobald die Frist zwischen ergebnis_eingang_am und now() 90 Tage überschreitet, werden die eigentlichen Bonitätsdaten (Score, Berichts-Inhalt, Negativ-Einträge) gelöscht und der Status auf abgelaufen gesetzt. Die Anfrage-Metadaten bleiben erhalten — sie sind keine Bonitätsdaten im engeren Sinne, sondern Prozess-Nachweis.

Die 90-Tage-Frist ist der Default. Bei laufender Vertragsverhandlung kann sie mandantenseitig auf maximal 180 Tage angehoben werden. Eine darüber hinausgehende Speicherung ist nach Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) nicht zulässig.

Praxis-Workflow: Vom Besichtigungstermin zum freigegebenen Mietvertrag

Konkret läuft die Bonitätsprüfung in fünf Schritten ab. Eine 92-Quadratmeter-Wohnung wird zum 1. Juni neu vermietet. Nach der Besichtigung am 15. April hat sich eine Interessentin als Favoritin herauskristallisiert. Die Verwaltung möchte vor Vertragsangebot die Bonität prüfen.

Schritt 1: Im Lead-Kanban der Wohnung öffnet der Sachbearbeiter das Bonitäts-Modul der Interessentin. Das System zeigt drei Provider-Optionen — SCHUFA, Bonify oder beide. Der Sachbearbeiter wählt Bonify (für die Interessentin kostengünstiger, da sie ohnehin einen aktuellen Bonify-Account führt).

Schritt 2: Vor dem Anfrage-Trigger erscheint das Einwilligungs-Gate. Der Sachbearbeiter sieht den Volltext der Einwilligungserklärung, der Interessentin wird der Text per E-Mail mit Bestätigungslink zugesandt. Erst nach Klick auf den Bestätigungslink wird einwilligung_erteilt_am gesetzt. Ohne Klick keine Anfrage.

Schritt 3: Die Interessentin klickt am Folgetag, der Status der Bonitäts-Anfrage wechselt von Initialzustand auf angefragt. Das System ruft BonifyProvider.anfragen() auf, erhält einen Einladungslink, schickt ihn der Interessentin per E-Mail, Status wechselt auf link_verschickt.

Schritt 4: Die Interessentin folgt dem Link, identifiziert sich bei Bonify per Online-Verfahren und gibt den Bericht für die Verwaltung frei. 18 Stunden später erreicht ein Webhook das ImmoGenio-Backend mit Score, Ampelfarbe und PDF-Berichts-Anhang. Status wechselt auf ergebnis_vorhanden, der Sachbearbeiter erhält eine Aufgabe im Posteingang.

Schritt 5: Der Sachbearbeiter prüft das Ergebnis, beschließt die Vertragsfreigabe und stößt den Mietvertragsentwurf an. 90 Tage nach Ergebnis-Eingang löscht der Retention-Cron die Bonitätsdaten automatisch — die Anfrage existiert dann nur noch als Metadaten-Eintrag im Audit-Log.

Compliance-Anker tief: Wo die DSGVO und das AGG genau ansetzen

Die Bonitätsprüfung berührt fünf zentrale Vorschriften, die in der Praxis häufig nur oberflächlich beachtet werden.

Art. 6 DSGVO — Rechtsgrundlage. Die Verarbeitung beruht auf der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Eine Stützung allein auf berechtigtes Interesse nach lit. f ist nach dem EuGH-Urteil im SCHUFA-Verfahren vom 7. Dezember 2023 (C-634/21) für automatisierte Scoring-Verfahren rechtlich riskant — der Gerichtshof hat festgestellt, dass die Score-Bildung selbst eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO darstellen kann.

Art. 7 DSGVO — Einwilligungs-Dokumentation. Die Einwilligung muss freiwillig, informiert, zweckgebunden und widerruflich sein. Sie ist vom Verantwortlichen nach Art. 7 Abs. 1 nachweisbar zu dokumentieren. Eine pauschale Klausel in einer Mietinteressenten-Selbstauskunft genügt nicht — die Einwilligung muss als eigenständige Erklärung erfolgen, separat von anderen Erklärungen, mit konkreter Benennung der Datenkategorien und Empfänger.

Art. 17 DSGVO — Löschpflicht. Die Speicherung ist nach Art. 5 Abs. 1 lit. e auf das für den Zweck Erforderliche zu begrenzen. Nach Wegfall des Zwecks (Vertragsabschluss oder endgültige Absage) ist die Löschung umzusetzen. Die 90-Tage-Frist ist die Branchenpraxis für die Phase nach Vertragsabschluss, in der Korrekturen, Vertragsanfechtungen oder Nachverhandlungen denkbar sind.

Art. 21 DSGVO — Widerspruchsrecht. Der Interessent kann jederzeit der Verarbeitung widersprechen. Bei Einwilligungs-basierter Verarbeitung ist der Widerruf nach Art. 7 Abs. 3 das passende Instrument; der Widerspruch nach Art. 21 greift bei berechtigtem Interesse. Beide Wege müssen im System gleich einfach umzusetzen sein wie die Einwilligung selbst.

§ 19 AGG — Diskriminierungsverbot. Die Bonitätsprüfung darf nicht als Vehikel für diskriminierende Auswahlentscheidungen dienen. Wer Interessenten nach Herkunft, Familienstand oder Religion ausschließt und das Bonitätsergebnis nur als Vorwand nutzt, verstößt gegen § 19 Abs. 1 Nr. 1 AGG. Die Verwaltung ist gut beraten, die Auswahlentscheidung jenseits der Bonität dokumentiert nach sachlichen Kriterien zu treffen — Einkommens-Miet-Verhältnis, Anzahl der Personen im Haushalt, Berufstätigkeit. Die Mechanik beschreibt der Beitrag zum Audit-Trail im Detail.

Grenzen der aktuellen Version

Die produktive Implementierung deckt den Kern-Workflow ab — Provider-Strategy, Lifecycle-Statuswechsel, Einwilligungs-Gate, Retention-Cron. Drei Funktionen sind bewusst nicht in der ersten Ausbaustufe enthalten.

Eine automatische Bonitäts-Ampel im Interessenten-Kanban ist nicht implementiert. Der Sachbearbeiter sieht das Ergebnis als Eintrag im Bonitäts-Modul, eine automatische Färbung der Lead-Karte (grün, gelb, rot) auf Basis des Scores erfolgt nicht. Diese Entscheidung ist bewusst: Eine automatisierte Ampel-Kategorisierung wäre eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO und verlangt zusätzliche Schutzmaßnahmen.

Ein eigenständiger Einwilligungs-Dialog im Mieter-Portal ist nicht enthalten. Aktuell läuft die Einwilligung über einen E-Mail-Bestätigungslink — funktional ausreichend, aber bei Mietern ohne aktive E-Mail-Nutzung umständlich. Ein Portal-Dialog mit Touchscreen-Bestätigung steht für die zweite Ausbaustufe an.

Eine Konvertierung zwischen Bonify-Score und SCHUFA-Score erfolgt nicht. Die beiden Skalen sind methodisch unterschiedlich gebaut; eine Umrechnung wäre statistisch unsauber und rechtlich angreifbar. Der Sachbearbeiter sieht den Score in der Provider-eigenen Skala und entscheidet im Kontext.

FAQ zur Bonitätsprüfung in der Vermietung

Wie lange dauert eine SCHUFA-Anfrage?

Die B2B-API der SCHUFA liefert Standard-Bonitätsauskünfte typisch innerhalb von zwei Stunden. Bei manuellen Prüfungen — etwa bei abweichenden Stammdaten oder bei Erstmeldungen ohne SCHUFA-Eintrag — kann die Bearbeitung bis zu 48 Stunden dauern. Wer auf ein Ergebnis zur Vertragsfreigabe wartet, sollte einen Puffer von zwei Werktagen einplanen.

Was kostet eine Bonify-Selfcheck-Einladung?

Die Einladung selbst ist für den Vermieter kostenfrei — Bonify finanziert sich über Tarife auf der Verbraucher-Seite. Der Interessent zahlt für den Bericht je nach gewähltem Tarif zwischen 0 und 8,99 Euro. Wer einen Bonify-Account führt, kann den Selfcheck im Basis-Tarif kostenfrei freigeben. SCHUFA-Anfragen über die B2B-API kosten zwischen 19 und 25 Euro netto pro Auskunft, mit Mengenrabatten in höheren Vertragsstufen.

Darf nach Negativ-Einträgen gefragt werden, die älter als drei Jahre sind?

Das Fragerecht ist durch die DSGVO und durch die SCHUFA-eigenen Speicherfristen begrenzt. Die SCHUFA löscht erledigte Negativ-Einträge nach drei Jahren, beendete Inkasso-Vorgänge ebenfalls nach drei Jahren. Wer den SCHUFA-Auszug verarbeitet, sieht erledigte Einträge ohnehin nicht mehr. Eine darüber hinausgehende Frage nach historischen Bonitätsproblemen ist nach BGH-Rechtsprechung (Urteil vom 9. April 2014, VIII ZR 107/13) als unzulässig zu betrachten — sie verletzt das Persönlichkeitsrecht des Interessenten ohne sachlichen Vermietungsbezug.

Was passiert mit dem Bonitäts-Ergebnis nach Mietabschluss?

Nach Vertragsabschluss bleibt das Ergebnis 90 Tage gespeichert — diese Frist deckt Nachverhandlungen, Vertragsanfechtungen oder Korrekturen am Mietvertrag ab. Nach Ablauf wird das Ergebnis durch den Retention-Cron gelöscht. Die Anfrage-Metadaten (Zeitpunkt, Provider, Anfragender) bleiben für die Auditierung im System; das eigentliche Bonitätsergebnis ist nach 90 Tagen unwiederbringlich gelöscht.

Können die Ergebnisse dem Eigentümer der Wohnung weitergegeben werden?

Eine pauschale Weitergabe an den Eigentümer ist nach Art. 6 Abs. 1 DSGVO nicht gedeckt — die Einwilligung des Interessenten erstreckt sich auf die Verwaltung als verantwortliche Stelle, nicht automatisch auf den Eigentümer. Wer Bonitätsdaten an den Eigentümer weitergeben will, benötigt entweder eine entsprechend erweiterte Einwilligung oder beschränkt sich auf die Mitteilung der Vertragsfreigabe ohne konkrete Bonitätsdaten. Die Mitteilung „Bonität ist geprüft und positiv bewertet” ist in den meisten Fällen ausreichend und vermeidet die heikle Datenweitergabe.

Welche Aufbewahrungsfrist gilt für die Einwilligung selbst?

Die Einwilligungserklärung als Dokument muss nach Art. 7 Abs. 1 DSGVO nachweisbar dokumentiert sein. Sie wird nicht automatisch nach 90 Tagen gelöscht — die Verwaltung muss ihre Einwilligungsdokumentation für die Dauer des Rechtsverhältnisses und darüber hinaus für die Verjährungsfrist von drei Jahren nach § 195 BGB aufbewahren. In ImmoGenio bleibt das Einwilligungsdokument als Audit-Eintrag erhalten, während die eigentlichen Bonitätsdaten nach 90 Tagen gelöscht werden.

Verwandte Beiträge

• Lead-Kanban: Vom Portal-Lead zum unterschriebenen Mietvertrag — die Bonitätsprüfung ist eine der Stationen im Lead-Kanban; der Beitrag zeigt die Phasen von Erstkontakt bis Vertragsunterzeichnung.
• Inserate auf ImmoScout24 und Immowelt — die Bonitätsprüfung schließt an die Lead-Erfassung aus den Portalen an und ist der nächste Schritt nach der Besichtigung.
• Audit-Trail und Revisionssicherheit — die Dokumentation der Einwilligung sowie der Anfrage-Metadaten erfolgt im Append-only-Audit-Trail.

Wo wir stehen

Die SCHUFA-B2B-Anbindung läuft seit Q1 2026 produktiv mit zwei Pilotkunden, die im Schnitt 30 bis 80 Anfragen pro Monat fahren. Die Bonify-Selfcheck-Anbindung ist im Roll-out und wird bis Mitte 2026 bei allen Mandanten verfügbar sein. Der Retention-Cron läuft täglich um 02:30 Uhr und löscht Bonitätsdaten nach 90 Tagen ohne manuelle Intervention; das Audit-Log weist die Löschvorgänge nach Datum und Anfrage-ID aus.

Die Provider-Strategy ist als technische Grundlage bereit, weitere Anbieter aufzunehmen — CRIF Bürgel und Creditreform stehen für die nächste Ausbaustufe in Prüfung. Die Entscheidung über die Aufnahme richtet sich nach den Mandanten-Anforderungen und nach der Vertragspartnerschaft, die für eine produktive B2B-Anbindung notwendig ist.

Kontakt

Fragen, Rückmeldungen oder eigene Erfahrungen? Wir freuen uns über Ihre Nachricht an kontakt@immogenio.de.