Kontolöschung nach Art. 17 DSGVO: sofort, restlos, ohne Frist

Die Anfrage, die jede Hausverwaltung kennt

Ein Buchhalter hat den Arbeitgeber gewechselt und schreibt an die Verwaltung, für die er sieben Jahre lang Buchungen erfasst hat: Er möchte sein Konto löschen lassen, und zwar sofort, nach DSGVO. Die Verwalterin, die die Nachricht liest, stellt sich drei Fragen. Darf sie das überhaupt? Was geschieht mit den Buchungen, die er erfasst hat? Und wer hat den Mandanten danach noch in der Hand, wenn der Buchhalter der Einzige mit Administratorrechten war?

Diese Fragen liegen genau an der Stelle, an der Datenschutzrecht und Handelsrecht aufeinandertreffen. Deshalb gehört die Antwort nicht in eine Notiz, sondern in den Kern der Software. Dieser Artikel beschreibt, wie immoGenio Konten löscht — in immoGenio Verwaltung ebenso wie in den sieben übrigen Apps. Seit September 2026 gilt dafür ein Grundsatz ohne Ausnahme: Wer die Löschung seines Kontos bestätigt, dessen Daten sind danach weg. Nicht gesperrt, nicht vorgemerkt, nicht wiederherstellbar.

Was Art. 17 DSGVO verlangt

Das Recht auf Löschung aus Art. 17 DSGVO greift unter anderem, wenn personenbezogene Daten für ihren Zweck nicht mehr erforderlich sind oder die betroffene Person ihre Einwilligung widerruft. Der Verantwortliche muss die Daten dann „unverzüglich” löschen. Art. 12 Abs. 3 DSGVO setzt für die Reaktion auf einen Antrag eine Höchstfrist von einem Monat — eine Obergrenze, keine Wartezeit, die ausgeschöpft werden sollte.

Die Grenzen stehen in Art. 17 Abs. 3 DSGVO. Für Hausverwaltungen ist Buchstabe b entscheidend: Das Löschrecht greift nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Diese Verpflichtung ergibt sich aus § 257 Abs. 4 HGB und § 147 Abs. 3 AO — zehn Jahre für Buchungsbelege und Jahresabschlüsse, sechs Jahre für Handels- und Geschäftsbriefe. Wie immoGenio diese Fristen abbildet, beschreibt der Artikel zu Aufbewahrungsfristen nach HGB, AO und WEG.

Wichtig ist dabei, wessen Pflicht das ist. Die Aufbewahrungspflicht trifft die Verwaltung, nicht den einzelnen Mitarbeiter. Die Buchungen, die der Buchhalter erfasst hat, gehören der Verwaltung. Sein Konto dagegen gehört ihm. Diese Trennung ist die Grundlage des gesamten Verfahrens.

Warum die 30-Tage-Frist abgeschafft wurde

Bis September 2026 lief die Kontolöschung in immoGenio über eine Frist: Nach dem Antrag war das Konto 30 Tage gesperrt, ein Reaktivierungslink holte es in dieser Zeit zurück, danach anonymisierte ein nächtlicher Job den Datensatz. Die Überlegung dahinter war der Schutz vor einer versehentlich ausgelösten Löschung.

In der Praxis trug diese Überlegung nicht. Eine Frist ohne tatsächlich genutzte Rücknahme hält Daten 30 Tage länger vor, ohne dass es dafür einen Zweck gibt — und das verträgt sich schlecht mit dem Wort „unverzüglich”. Hinzu kam ein technischer Befund: Die Passwortabfrage vor der Löschung scheiterte zuverlässig bei allen Nutzern, die sich mit Google anmelden, weil diese im Anmeldedienst kein Passwort besitzen. Für sie gab es schlicht keinen Weg zur Löschung.

Das neue Verfahren kehrt die Reihenfolge um. Der Schutz vor dem versehentlichen Klick liegt jetzt vor der Löschung, nicht danach: in einem Bestätigungslink per E-Mail. Frist, Reaktivierung und der nächtliche Anonymisierungsjob sind entfallen.

Der Ablauf: ein Link, dann ist gelöscht

Die Löschung beginnt im eigenen Profil unter „Konto löschen” — in immoGenio Verwaltung und in jeder der sieben übrigen Apps: immoGenio Übergabe, immoGenio Schadensmeldung, immoGenio Hausmeister, immoGenio Verwalterprüfung, immoGenio Vorlagen, immoGenio Eigentümer und immoGenio Mieterportal. Zuerst zeigt eine Vorschau, was mitgeht und ob vorher etwas zu klären ist. In immoGenio Verwaltung bestätigt der Nutzer den Schritt zusätzlich mit dem Klartext „ACCOUNT LÖSCHEN”; in den Apps mit einem ausdrücklichen Haken.

Danach fordert der Nutzer einen Bestätigungslink an. Er geht an die Adresse, mit der das Konto angemeldet ist, gilt eine Stunde und lässt sich genau einmal verwenden. Die E-Mail sagt ausdrücklich, dass bis zu diesem Punkt nichts gelöscht ist und dass ein Ignorieren genügt, wenn die Anfrage nicht vom Empfänger stammt.

Mit dem Öffnen des Links wird gelöscht — sofort und endgültig. Der Link funktioniert auch auf einem anderen Gerät als dem, auf dem die Löschung angefordert wurde, denn die Mail wird oft am Rechner geöffnet, obwohl die Anfrage aus der App kam. Der Link selbst ist der Nachweis: Wer ihn öffnen kann, verfügt über das Postfach des Kontos. Zum Abschluss geht eine letzte Nachricht an diese Adresse, die die Löschung bestätigt.

Ein Passwort wird an keiner Stelle abgefragt. Der Bestätigungslink wirkt für Konten mit Passwort und für Konten mit Google-Anmeldung gleich.

Sole-Admin-Guard: kein Mandant bleibt verwaist

Die kritischste Konstellation ist der alleinige Administrator. Löscht er sein Konto, bliebe ein Mandant zurück, in dem niemand mehr Rechnungen freigeben, Mahnungen versenden oder neue Nutzer einladen kann. Deshalb prüft immoGenio vor jeder Löschung, ob der Nutzer in einem Mandanten der einzige aktive Administrator ist. Welche Rollen als Administrator zählen, regelt das Rollen- und Berechtigungsmodell.

Die Prüfung läuft über alle Mandanten des Nutzers, nicht nur über den gerade gewählten. Wer zwei Verwaltungen allein administriert, sieht beide Konflikte in der Vorschau. Für jeden dieser Mandanten gibt es zwei Wege:

• Administration übergeben: Der Nutzer wählt ein anderes aktives Mitglied als Nachfolger aus, überträgt die Rechte und verlässt den Mandanten danach.
• Mandant schließen: Der Nutzer beantragt die Schließung mit dem Klartext „MANDANT SCHLIESSEN”. Nach 14 Tagen enden alle Zugänge. Der Bestand selbst bleibt erhalten, denn er unterliegt den Aufbewahrungspflichten der Verwaltung.

Ist die Schließung beantragt, kann der Nutzer sein Konto sofort löschen — er muss die 14 Tage nicht abwarten. Die Schließung läuft ohne ihn weiter. Ist dagegen weder übergeben noch geschlossen, weist die Löschung den Antrag ab, bevor irgendetwas geschieht.

Kostenlose Apps: Betrieb und Konto gehen zusammen

Anders liegt der Fall bei den kostenlosen Apps immoGenio Schadensmeldung, immoGenio Hausmeister, immoGenio Übergabe und immoGenio Vorlagen. Wer sich dort registriert, legt einen eigenen Betrieb an und ist dessen einziger Inhaber. Je nach App hängen Häuser, Aushänge, Mitteilungen von Mietern, Protokolle und Fotos vollständig an diesem Konto.

Löscht der Inhaber eines solchen Betriebs sein Konto, wird der Betrieb mitgelöscht — gleich, aus welcher der kostenlosen Apps er stammt. Die Vorschau kennzeichnet ihn vorher als „wird mitgelöscht”, und die Löschseite der App nennt, was zum Bestand gehört. Die QR-Aushänge im Treppenhaus funktionieren danach nicht mehr. Hat der Betrieb weitere Mitglieder eingeladen, verlieren sie ihren Zugang.

Rechtlich ist das stimmig: Für die Meldungen der Mieter ist der Betrieb Verantwortlicher, immoGenio verarbeitet sie in seinem Auftrag. Nach Art. 28 Abs. 3 lit. g DSGVO löscht ein Auftragsverarbeiter nach dem Ende der Leistung alle personenbezogenen Daten, wenn der Verantwortliche das so wählt. Die Kontolöschung des Inhabers ist genau diese Wahl.

Die Sonderregel gilt nur für Betriebe ohne Abo. Nutzt eine Verwaltung immoGenio Verwaltung mit Verträgen und Buchhaltung, greift der Sole-Admin-Guard aus dem vorigen Abschnitt, und die App verweist auf den Assistenten in immoGenio Verwaltung.

Zugänge ohne Betrieb: Privatkonto, E-Mail-Link, Gast

Nicht jeder Nutzer der Apps hat einen Betrieb. Eigentümer und Mieter legen in immoGenio Übergabe und immoGenio Vorlagen ein Privatkonto an; in immoGenio Übergabe, immoGenio Vorlagen und immoGenio Verwalterprüfung genügt auch ein Anmeldelink per E-Mail. Für diese Zugänge gilt dieselbe Regel: Gelöscht wird alles, was an ihnen hängt — Übergabeprotokolle mit ihren Fotos, Unterschriften und Zählerständen, erstellte Vorlagen, der Lernstand der Prüfungsvorbereitung. Ist ein Zugang mit einem immoGenio-Konto verknüpft, gehen das Konto und seine Zugänge in den anderen Apps mit.

Die Personen, die in einem Übergabeprotokoll unterschrieben haben, sind Teil dieses Protokolls. Es gehört dem Zugang, der es angelegt hat, und wird mit ihm gelöscht.

Einen Sonderfall bildet der Gast-Zugang der Übergabe-App, der ohne E-Mail-Adresse beginnt. Für ihn gibt es keinen Kanal, über den ein Bestätigungslink ankäme; ihn weist allein das Gerät aus, auf dem er angelegt wurde. Er bestätigt die Löschung deshalb direkt in der App und löscht sofort.

Eingeladene Mitglieder: der Zugang endet, der Bestand bleibt

Ein eingeladener Hausmeister oder ein Buchhalter ist nicht Inhaber des Bestands. Löscht er sein Konto, werden sein Zugang und seine persönlichen Daten gelöscht: Mitgliedschaften, Rollen, Sitzungen, Einwilligungen, registrierte Geräte und eigene Entwürfe. Was der Betrieb über ihn führt — etwa die Hausmeister- oder Arbeitnehmerzeile —, bleibt beim Betrieb, verliert aber die Verknüpfung zum gelöschten Konto. In den Protokolleinträgen des Betriebs werden seine IP-Adresse und Gerätekennung entfernt; die Einträge selbst, also wer wann welche Aufgabe erledigt hat, bleiben dem Betrieb erhalten.

Restlos heißt: jede Tabelle, jede Datei

„Restlos” ist leicht behauptet und schwer umgesetzt. Der naheliegende Weg — den Mandanten löschen und auf die Datenbank vertrauen, die abhängige Zeilen mitnimmt — reicht nicht. Bei der Umstellung zeigte eine Bestandsaufnahme rund 130 Tabellen mit Mandantenbezug, aber ohne Fremdschlüssel auf den Mandanten. Ihre Zeilen wären stillschweigend stehen geblieben.

Die Löschung eines Betriebs geht deshalb jede Tabelle mit Mandantenbezug einzeln durch, in einer einzigen Transaktion. Scheitert eine Tabelle an einer Abhängigkeit, kommt sie in einem weiteren Durchgang erneut an die Reihe. Bleibt ein Durchgang ohne Fortschritt, wird die gesamte Transaktion zurückgerollt — halb gelöschte Betriebe gibt es nicht. Nach jedem Löschschritt prüft die Routine zusätzlich, ob wirklich keine Zeile übrig ist, denn eine restriktive Zeilenrichtlinie meldet keinen Fehler, sondern filtert nur.

Das Workflow-Protokoll ist grundsätzlich unveränderlich; wie diese Revisionssicherheit funktioniert, beschreibt der Artikel zum revisionssicheren Audit-Trail. Für die Löschung eines Betriebs gibt es eine eng gefasste Ausnahme: Sie greift nur für einen Mandanten, der in derselben Transaktion bereits geschlossen wurde. Ein laufender Mandant bleibt geschützt.

Dateien liegen nicht in der Datenbank, sondern im Objektspeicher. Gelöscht werden alle Dateien, auf die der Bestand verweist, dazu alle Dateien, die nach dem Ablagemuster eindeutig dem Betrieb gehören. Das Ablagemuster ist dabei bewusst streng: Eine frühere, großzügigere Zuordnung hätte bei einem Betrieb, der zufällig wie ein Ablageordner heißt, Dateien anderer Mandanten getroffen.

Zuletzt wird die Identität im Anmeldedienst gelöscht — Name, E-Mail-Adresse und eine eventuelle Google-Verknüpfung. Die lokale Kontozeile wird entfernt; nur wenn ein fremder Vorgang den Nutzer noch als Handelnden führt, bleibt eine leere Zeile mit ihrer Nummer stehen, ohne jede persönliche Angabe.

Was bleibt

Es bleiben zwei Dinge. Erstens ein Vermerk, dass und wann eine Löschung stattgefunden hat und wie viele Datensätze betroffen waren — ohne Namen, ohne Adresse, ohne Namen des Betriebs. Er dient der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Zweitens verschlüsselte Datensicherungen, die vor der Löschung entstanden sind. Sie enthalten die Daten, bis sie planmäßig überschrieben werden; aus ihnen wird nichts wiederhergestellt.

Wer seine Daten mitnehmen möchte, muss das vor der Löschung tun. Für Verwaltungen deckt der GoBD-konforme ZIP-Export das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO ab. Nach dem Klick auf den Bestätigungslink gibt es nichts mehr zu exportieren.

Praxis-Beispiel: zwei Konten, zwei Wege

Eine Buchhalterin scheidet zum 30. September aus einer Verwaltung aus. Sie ist nicht Administratorin. Am letzten Arbeitstag öffnet sie ihr Profil, sieht in der Vorschau den Mandanten ihres Arbeitgebers ohne Konflikt, bestätigt mit „ACCOUNT LÖSCHEN” und fordert den Link an. Abends öffnet sie die E-Mail auf dem privaten Telefon. Ihr Konto ist in diesem Moment gelöscht. Die Buchungen, die sie erfasst hat, bleiben der Verwaltung erhalten — sie gehörten nie ihr.

Ein selbständiger Hausmeister nutzt immoGenio Hausmeister kostenlos für zwölf Häuser und gibt den Betrieb auf. In der App sieht er vor der Löschung, dass sein Betrieb mitgelöscht wird und dass die Aushänge danach nicht mehr funktionieren. Er fordert den Link an und öffnet ihn. Häuser, Mitteilungen, Fotos und Protokoll sind gelöscht, ebenso sein Konto. Eine letzte E-Mail bestätigt das.

Endgültig heißt endgültig

Wer versehentlich klickt und den Link öffnet, kann sein Konto nicht zurückholen, sondern registriert sich neu — bei einer Verwaltung mit dem gewohnten Onboarding samt VIES-Prüfung. Diesen Preis nimmt das Verfahren in Kauf: Eine Löschung, die sich zurücknehmen lässt, ist keine.

Wer das Konto ohne App löschen möchte — etwa weil die App längst deinstalliert ist —, findet die Wege auf der öffentlichen Seite zur Löschung eines Kontos der Hausmeister-App.

Kontakt

Fragen zum Löschverfahren, zur Rolle als Verantwortlicher oder Auftragsverarbeiter oder zur Einbindung in Ihre eigenen Datenschutzprozesse beantworten wir gern. Wir freuen uns über Ihre Nachricht an info@immogenio.de.