Datenschutz und Gästeakzeptanz bei Smart-Home

Beginnen Sie mit der Frage, ob überhaupt personenbezogene Daten anfallen. Art. 4 Nr. 1 DSGVO fasst den Begriff weit: Es genügt, dass sich eine Angabe einer bestimmbaren Person zuordnen lässt. Eine Temperaturkurve für sich ist harmlos; verknüpft mit dem Buchungszeitraum eines namentlich bekannten Gastes wird sie zur Aussage über dessen Verhalten. Genau diese Verknüpfung ist in der Ferienvermietung der Regelfall, weil Sie zu jedem Zeitfenster wissen, wer im Haus war. Deshalb hilft das häufig gehörte Argument nicht weiter, ein Sensor erfasse ja keine Namen. Maßgeblich ist die Zuordenbarkeit, nicht der Speicherort des Namens.

Zweiter Schritt ist die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, und zwar je Verarbeitung, nicht pauschal für das Objekt. Die Vergabe eines Zutrittscodes an den gebuchten Gast lässt sich auf lit. b stützen, weil sie zur Erfüllung des Beherbergungsvertrags erforderlich ist. Der Betrieb von Rauchwarnmeldern folgt einer rechtlichen Verpflichtung nach § 48 Abs. 4 LBauO M-V und damit lit. c. Schadensabwehr durch Wasser- und Frostmelder oder eine Außenkamera stützt sich auf das berechtigte Interesse nach lit. f. Eine Einwilligung nach lit. a ist im Mietverhältnis heikel, weil Freiwilligkeit schwer zu belegen ist, wenn der Gast bereits angereist ist.

Wo lit. f trägt, verlangt die Orientierungshilfe Videoüberwachung der Datenschutzkonferenz vom 03.09.2020 eine dreistufige Prüfung, die sich auf andere Sensorik sinngemäß übertragen lässt: konkrete Tatsachen für das berechtigte Interesse, Erforderlichkeit im Sinne eines fehlenden milderen Mittels und eine Einzelfallabwägung mit den Interessen der Betroffenen. Die Orientierungshilfe wendet § 4 BDSG bewusst nicht an. Praktisch heißt das: Ein pauschales Sicherheitsgefühl reicht nicht. Sie brauchen belegbare Vorfälle oder eine belegbare Gefährdungslage, und Sie müssen begründen, warum ein Schlüsselkasten, ein Nachbar oder eine Hausordnung nicht genügt.

Die Grundsätze des Art. 5 DSGVO wirken danach wie ein Filter über jede Funktion. Zweckbindung verbietet, ein Zutrittsprotokoll, das der Schlüsselverwaltung dient, später zur Kontrolle der Aufenthaltszeiten auszuwerten. Datenminimierung fragt, ob eine stündliche Messung genügt statt einer minütlichen. Speicherbegrenzung verlangt eine feste Löschfrist; für Videoaufnahmen gilt eine Regelspeicherdauer von 72 Stunden, längere Fristen sind zu begründen – dieser Wert ist ein brauchbarer Anhaltspunkt auch für andere Protokolle. Art. 5 Abs. 2 ergänzt die Rechenschaftspflicht: Sie müssen die Einhaltung nachweisen können, nicht nur behaupten.

Hinzu kommen Organisationspflichten, die im Ferienobjekt gern übersehen werden. Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten; die Erleichterung für kleine Einheiten in Absatz 5 greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt – bei laufender Vermietung ist sie das nie. Art. 32 fordert angemessene technische und organisatorische Maßnahmen, Art. 28 einen Vertrag mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet, also auch mit Verwaltung, Reinigungsdienst und Cloud-Plattform. Art. 33 verlangt bei einer Datenpanne die Meldung an die Aufsichtsbehörde binnen 72 Stunden.

Parallel läuft das Produkt- und Strafrecht. Die Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie gilt seit dem 01.08.2025 und verlangt von Funkgeräten Netzsicherheit, Schutz personenbezogener Daten und Betrugsschutz; die harmonisierten Normen EN 18031-1, -2 und -3 sind seit dem 30.01.2025 mit Einschränkungen gelistet, worauf das BSI hinweist. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist seit dem 10.12.2024 in Kraft, seine Meldepflichten greifen aber erst ab dem 11.09.2026 und die volle Anwendung ab dem 11.12.2027 – er ist derzeit also noch nicht vollständig anwendbar. Bildaufnahmen aus Wohnräumen sanktioniert § 201a StGB mit Freiheitsstrafe bis zu zwei Jahren, ausdrücklich auch in Gästezimmern.

Fachliches Urteil: Datenschutz bei Smart Home ist kein Zusatzthema, sondern die Eintrittskarte für den Betrieb der Technik. Wer je Gerät Rechtsgrundlage, Zweck, Datenumfang und Löschfrist bestimmt, transparent informiert und die Absicherung dokumentiert, bewegt sich in einem tragfähigen Rahmen. Wer das nicht leisten will oder kann, sollte die Geräteliste kürzen statt die Pflichten ignorieren: Ein mechanischer Schlüsselkasten und ein Handthermostat erzeugen keine personenbezogenen Daten und sind in kleinen Objekten mit gutem Nachbarschaftskontakt die sauberere Lösung. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Die erste Stufe ist das Inserat, und sie ist die wichtigste. Ein Gast, der vor der Buchung weiß, dass am Carport eine Kamera hängt und im Flur ein Rauchwarnmelder funkvernetzt ist, trifft eine informierte Entscheidung und beschwert sich später nicht. Airbnb hat zum 30.04.2024 weltweit alle Innenkameras verboten, nachdem die Regel am 11.03.2024 angekündigt worden war; Außen- und Türklingelkameras bleiben zulässig, müssen aber vor der Buchung offengelegt werden und sind in Außenduschen und Saunen untersagt. Lärmmessgeräte sind erlaubt, sofern sie keinen Ton aufzeichnen und nicht in Schlaf- oder Sanitärbereichen hängen.

Booking.com geht formal weiter und verlangt die Offenlegung aller Überwachungsgeräte, ausdrücklich auch von Bewegungsmeldern und Türklingeln mit Mikrofon. Der Ort dafür ist das Extranet unter Facilities & Services → Safety & Security. In Bereichen, die der Gast exklusiv mietet, sind solche Geräte untersagt; Sanktionen reichen bis zur Beendigung des Kontos. Für Sie heißt das zweierlei: Erstens müssen die Angaben auf allen Kanälen deckungsgleich sein, sonst entsteht bei zwölf angebundenen Portalen ein Flickenteppich. Zweitens gilt die Pflicht auch für Geräte, die Sie selbst nicht als Überwachung empfinden.

Die zweite Stufe ist die Anreiseinformation. Hier zählt nicht Rechtssprache, sondern Verständlichkeit, wie sie Art. 12 DSGVO in klarer und einfacher Sprache verlangt. Bewährt hat sich eine kurze Übersicht in der Buchungsbestätigung und in der Hausmappe: welches Gerät wo hängt, welchen Zweck es hat, was es misst und was ausdrücklich nicht, wie lange Daten gespeichert werden und an wen sich der Gast wenden kann. Formulieren Sie das aktiv und ohne Verharmlosung. Ein Satz wie: der Sensor misst ausschließlich die Lautstärke und zeichnet keine Gespräche auf, wirkt nachweislich beruhigender als jede juristische Klausel.

Die dritte Stufe ist der Hinweis vor Ort. Das zweistufige Modell des LfDI Baden-Württemberg sieht ein Schild vor dem Erfassungsbereich vor, in Augenhöhe, mit den wesentlichen Angaben nach Art. 13 DSGVO: Verantwortlicher, Kontakt, Zweck, Rechtsgrundlage, Speicherdauer und Hinweis auf die Betroffenenrechte. Die vertiefenden Informationen stehen auf der zweiten Stufe, etwa im Aushang der Hausmappe oder auf einer Webseite. Übertragen auf andere Technik bedeutet das: Ein kleines Schild am Sensor oder am Zählerschrank, ein Blatt in der Mappe und eine Zeile im Objektexposé decken die Anforderung in der Praxis ab.

Ein Sonderfall ist die Kommunikation gegenüber Dritten, die nicht Gast sind. Reinigungskräfte, Handwerker und Nachbarn geraten in den Erfassungsbereich von Außenkameras und Bewegungsmeldern, ohne einen Vertrag mit Ihnen zu haben. Für Beschäftigte und Dienstleister sind eigene Informationen nötig, und Nachbargrundstücke sowie öffentliche Flächen dürfen regelmäßig gar nicht erfasst werden. In dicht bebauten Ostseeorten wie Zingst, Kühlungsborn oder Binz ist das keine Theorie, sondern der Regelfall – Türklingelkameras erfassen dort schnell den halben Gehweg mit.

Halten Sie die Kette schließlich pflegbar. Jede Änderung an der Technik erzeugt Änderungsbedarf an drei Stellen: Plattformangaben, Anreiseinformation und Aushang. Wer einen Sensor nachrüstet und die Texte vergisst, hat eine offene Flanke. Praktisch bewährt sich eine einzige Quelle, aus der alle Kanäle bedient werden, und ein fester Prüfpunkt bei jeder Objektkontrolle. Bei mehreren Objekten empfiehlt sich ein Textbaustein je Geräteklasse statt individueller Formulierungen, weil sonst bei einer Rechtsänderung zwanzig Texte einzeln nachgezogen werden müssen.

Fachliches Urteil: Transparenz entscheidet über Akzeptanz stärker als die Technik selbst. Wer vor der Buchung offenlegt, in der Anreiseinformation erklärt und vor Ort sichtbar hinweist, nimmt fast jedem Konflikt die Grundlage; wer erst auf Nachfrage informiert, verliert Vertrauen unabhängig von der Rechtslage. Für Eigentümer, die diese Kette nicht dauerhaft pflegen können, ist der Verzicht auf erklärungsbedürftige Technik die ehrlichere Lösung – ein Schlüsselkasten braucht keine Datenschutzinformation. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Nützlich ist ein einfaches Raster mit zwei Achsen. Die erste fragt, ob der Gast einen unmittelbaren Vorteil hat: Kommt er nachts um halb zwölf ohne Wartezeit ins Haus, muss er nicht frieren, funktioniert das Streaming? Die zweite fragt, ob die Funktion Rückschlüsse auf sein Verhalten zulässt: Wann er kommt, wie viele Personen da sind, wie laut es ist. Funktionen im Feld hoher Nutzen und geringe Beobachtung werden praktisch immer getragen. Funktionen mit geringem Nutzen und hoher Beobachtungstiefe werden praktisch nie getragen. Dazwischen entscheidet die Kommunikation, nicht die Technik.

Breit akzeptiert ist der schlüssellose Zugang. Er löst ein echtes Problem, gerade an der Ostseeküste, wo Anreisen aus dem Rhein-Main-Gebiet oder aus Sachsen regelmäßig erst spätabends enden und eine persönliche Übergabe kaum planbar ist. Self-Check-in ist zunehmend verbreitet und wird von vielen Gästen inzwischen vorausgesetzt – belastbare Zahlen dazu gibt es nicht, und wir veröffentlichen deshalb keine. Ähnlich unstrittig sind stabiles WLAN, Rauchwarnmelder, Wassermelder und eine Heizung, die bei Ankunft bereits eine angenehme Temperatur liefert. Diese Funktionen wirken auf Gäste nicht als Technik, sondern als Selbstverständlichkeit.

Im Graubereich liegen Funktionen, die Verhalten messen oder Handlungsspielraum begrenzen. Ein Belegungssensor, der Überbelegung erkennen soll, ist rechtlich schwer zu rechtfertigen und wird von Gästen als Kontrolle gelesen. Ein Lärmsensor misst ausschließlich den Schalldruckpegel und nicht den Inhalt; § 201 StGB knüpft an das nichtöffentlich gesprochene Wort an, sodass eine reine Pegelmessung nach dem Wortlaut nicht darunter fällt – das ist eine Auslegung, es liegt dazu keine Behörden- oder Gerichtsentscheidung vor. Sprachassistenten spalten das Publikum stark; Details dazu in 20.12. Ein gesperrtes Thermostat wiederum erzeugt fast immer Ärger.

Klar abgelehnt und teils verboten sind Bild- und Tonaufnahmen im Innenbereich. Airbnb untersagt seit dem 30.04.2024 sämtliche Innenkameras weltweit, angekündigt wurde die Regel am 11.03.2024; Booking.com verbietet Überwachungsgeräte in Bereichen, die der Gast exklusiv mietet, und sanktioniert Verstöße bis zur Beendigung des Kontos. Strafrechtlich sanktioniert § 201a StGB Bildaufnahmen aus Wohnungen und höchstpersönlichen Räumen mit Freiheitsstrafe bis zu zwei Jahren und erfasst ausdrücklich auch Gästezimmer. Selbst Attrappen sind kein Ausweg: Das AG Frankfurt hat in 33 C 3407/14 entschieden, dass auch sie das allgemeine Persönlichkeitsrecht verletzen können.

Ein unterschätzter Akzeptanzfaktor ist die Bedienbarkeit. Gäste bleiben im Schnitt wenige Nächte und haben keine Lust, ein fremdes System zu lernen. Eine App, die eine Registrierung verlangt, ein Tablet mit fünf Menüebenen oder ein Lichtszenario, das sich nicht per Wandschalter überstimmen lässt, senken die Zufriedenheit unabhängig vom Datenschutz. Bewährt hat sich die Regel, dass jede smarte Funktion eine analoge Rückfallebene behält: Wandschalter neben der App, Drehrad am Thermostat, mechanischer Zylinder als Ersatz. Details zur Bedienlogik in 20.9 und 20.12, zur Ausfallsicherheit in 20.16.

Regionale Besonderheiten verschieben die Akzeptanz zusätzlich. In Teilen von Rügen, Usedom, dem Fischland-Darß-Zingst und im Binnenland gibt es weiterhin Mobilfunk- und Breitbandlücken; eine Funktion, die ohne Internet nicht mehr öffnet oder nicht mehr heizt, fällt dort besonders unangenehm auf. Bei Sturmlagen kommt es zu Stromausfällen, und Servicetechniker haben lange Anfahrtswege. Familien mit kleinen Kindern und ältere Gäste, die an der MV-Küste eine große Gruppe stellen, bevorzugen sichtbare, einfache Bedienelemente. Mecklenburg-Vorpommern führte im Februar 2024 nach der DFV/Statista-Erhebung mit 99.334 Ferienobjekten, rund 90 Prozent davon privat vermietet.

Fachliches Urteil: Akzeptiert wird, was dem Gast dient und was er selbst steuern kann; abgelehnt wird, was ihn misst. Wer diese Linie einhält, kann ein Objekt weitgehend automatisieren, ohne Vertrauen zu verlieren. Wer sie überschreitet, verliert Bewertungen schneller, als die Technik Kosten spart. Für kleine Objekte mit treuen Stammgästen ist der bewusste Verzicht auf Sensorik eine tragfähige Strategie, und ein Schlüsselkasten mit persönlicher Begrüßung durch den Nachbarn schlägt in mancher Zielgruppe jedes Codeschloss. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Beginnen Sie mit der Raumaufteilung, weil sie die härtesten Grenzen setzt. Schlafräume, Bäder, Sauna und Außendusche sind für Bild- und Tonaufnahmen gesperrt; Airbnb hat seit dem 30.04.2024 sämtliche Innenkameras weltweit verboten und untersagt Lärmmessgeräte in Schlaf- und Sanitärbereichen ausdrücklich. Im Wohnbereich sind Kameras plattformseitig ebenfalls tabu. Der Außenbereich ist zulässig, aber eng begrenzt: Nachbargrundstücke und öffentliche Flächen dürfen regelmäßig nicht erfasst werden. In dicht bebauten Ostseeorten mit schmalen Grundstücken ist das die entscheidende Einschränkung, nicht die Technik selbst.

Auf der Geräteebene wirkt Datenminimierung stärker als jede Verschlüsselung. Ein Energiemonitoring im Minutentakt zeichnet ein präzises Tagesprofil des Gastes; ein Stundenwert erfüllt denselben betrieblichen Zweck, ohne zu verraten, wann jemand duscht. Ein Thermostat muss Solltemperaturen nicht dauerhaft historisieren. Ein Türschloss muss Öffnungsereignisse nicht jahrelang speichern. Prüfen Sie bei jedem Gerät die Voreinstellung: Viele Systeme protokollieren im Auslieferungszustand deutlich mehr, als der Betrieb braucht, und genau dagegen richtet sich die Vorgabe datenschutzfreundlicher Voreinstellungen in Art. 25 Abs. 2 DSGVO.

Die dritte Ebene ist die Frage, wo verarbeitet wird. Läuft die Automation lokal auf einem Hub im Objekt, verlassen die Daten das Haus nicht, und die Funktion arbeitet auch bei einem Netzausfall weiter – an der Ostseeküste bei Sturmlagen ein realer Vorteil. Läuft sie in der Cloud des Herstellers, ist der Anbieter Auftragsverarbeiter, und Sie brauchen einen Vertrag nach Art. 28 DSGVO sowie Klarheit über Speicherorte und Unterauftragnehmer. Lokale Verarbeitung ist deshalb nicht nur ausfallsicherer, sondern reduziert auch den vertraglichen und dokumentarischen Aufwand spürbar.

Netzseitig empfiehlt das BSI für Objekte mit IoT-Technik ein klar getrenntes Setup: ein eigenes Netz für die Objekttechnik, ein strikt davon getrenntes Gastnetz, konsequent eingespielte Updates, einen auf das Nötige begrenzten Fernzugriff, ein WLAN-Passwort mit 20 und mehr Zeichen und deaktiviertes UPnP. Die Trennung schützt in beide Richtungen: Der Gast kommt nicht an Ihr Schloss oder Ihre Kamera, und ein kompromittiertes Gastgerät erreicht die Steuerung nicht. Für Funkgeräte verlangt zudem die seit dem 01.08.2025 geltende Delegierte Verordnung (EU) 2022/30 den Schutz personenbezogener Daten als Produkteigenschaft. Details in 20.10.

Organisatorisch entscheidet, wer zugreifen darf. Sammelkonten, deren Passwort Reinigungskraft, Handwerker und Verwalter kennen, machen jede Protokollierung wertlos und lassen sich beim Ausscheiden nicht sauber entziehen. Richten Sie personalisierte Zugänge mit Rollen ein: Reinigung braucht Zutritt zu Zeitfenstern, nicht die Kamerahistorie; Handwerker brauchen einmalige Codes. Jeder Dienstleister, der in Ihrem Auftrag Daten verarbeitet, benötigt einen Vertrag nach Art. 28 DSGVO. Und bei jedem Wechsel gehört der Entzug alter Zugänge in dieselbe Routine wie die Schlüsselrückgabe.

Bleiben die Spuren, die der Gast selbst hinterlässt. Smart-TVs speichern Streamingkonten, Sprachassistenten Sprachverlauf, Router Gerätelisten. Wenn ein Gast sein Konto nicht abmeldet, hat der nächste Zugriff darauf – ein Datenschutzproblem, das nicht Sie verursacht haben, für das Sie aber in der Verantwortung stehen. Nehmen Sie das Zurücksetzen von Unterhaltungsgeräten in die Abreisechecks auf, so wie das Leeren des Kühlschranks. Kamera-Attrappen sind kein Ersatz für Sicherheit: Nach dem AG Frankfurt, 33 C 3407/14, können auch sie das allgemeine Persönlichkeitsrecht verletzen. Details zu Geräten in 20.11 und 20.12.

Fachliches Urteil: Wirksamer Privatsphärenschutz ist eine Kette aus Raumtabus, geringer Messauflösung, lokaler Verarbeitung, sauberer Netztrennung, personalisierten Zugängen und Löschroutinen – erst dann folgt die Information des Gastes. Wo eine Funktion nur mit hoher Datentiefe funktioniert, ist die Frage berechtigt, ob sie überhaupt gebraucht wird; im Innenbereich ist der Verzicht auf Sensorik meist die überlegene Lösung, und eine Reinigungskraft vor Ort erkennt Überbelegung zuverlässiger als jeder Präsenzmelder. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Sortieren Sie Geräte nach Eingriffstiefe, nicht nach Preis. Ganz oben stehen Bild- und Tonaufnahmen, weil sie Aussehen, Verhalten und Gespräche erfassen. Darunter liegen Verhaltensdaten wie Anwesenheit, Öffnungszeitpunkte oder Lastprofile, die Rückschlüsse auf den Tagesablauf zulassen. Am unteren Ende stehen reine Zustandsdaten wie Rauch, Wasser am Boden oder Frostgefahr, die keinen Personenbezug herstellen. Diese Reihenfolge entspricht der Begründungslast: Ein Wassermelder braucht kaum Rechtfertigung, eine Kamera sehr viel, und ein Mikrofon im Innenbereich ist praktisch nicht zu rechtfertigen.

Innenkameras sind der klarste Fall. Airbnb verbietet sie seit dem 30.04.2024 weltweit, Booking.com untersagt Überwachungsgeräte in exklusiv gemieteten Bereichen und sanktioniert bis zur Kontobeendigung, und § 201a StGB stellt Bildaufnahmen aus Wohnungen und höchstpersönlichen Räumen unter Strafe von bis zu zwei Jahren, ausdrücklich einschließlich Gästezimmern. Die zivilrechtliche Linie ist ebenfalls streng: Der BGH hat am 12.03.2024 in VI ZR 1370/20 entschieden, das LG München I am 07.06.2022 in 14 S 2185/22, hinzu kommen das AG Berlin-Schöneberg in 19 C 166/12 und das OLG Köln in 24 U 12/05. Attrappen unterliegen nicht der DSGVO, aber dem Zivilrecht.

Außen- und Türklingelkameras sind zulässig, aber eng geführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; die Orientierungshilfe der Datenschutzkonferenz vom 03.09.2020 verlangt konkrete Tatsachen für das berechtigte Interesse, die Erforderlichkeit im Sinne eines fehlenden milderen Mittels und eine Einzelfallabwägung, wobei § 4 BDSG bewusst nicht angewandt wird. Nachbargrundstücke und öffentliche Flächen dürfen regelmäßig nicht erfasst werden, die Regelspeicherdauer beträgt 72 Stunden. In den engen Grundstückszuschnitten vieler Ostseebäder ist genau das die praktische Hürde. Details in 20.8.

Mikrofonbehaftete Geräte bilden die zweite Problemklasse. Sprachassistenten übertragen nach dem Aktivierungswort Audiodaten an den Anbieter, Türklingeln mit Mikrofon zeichnen Gespräche vor der Tür auf, und Booking.com verlangt für solche Geräte ausdrücklich eine Offenlegung. § 201 StGB schützt das nichtöffentlich gesprochene Wort. Reine Pegelmessungen von Lärmsensoren erfassen nach Darstellung von netzpolitik.org ausschließlich den Schalldruckpegel und nicht den Inhalt; dass sie deshalb nicht unter § 201 StGB fallen, ist eine Auslegung, zu der keine Behörden- oder Gerichtsentscheidung vorliegt. Mehr dazu in 20.6 und 20.12.

Die dritte Klasse fällt kaum auf und ist deshalb tückisch. Router protokollieren MAC-Adressen und Verbindungszeiten aller Gästegeräte. Smart-TVs speichern Streamingkonten, die abreisende Gäste vergessen, und übermitteln Nutzungsdaten an Dienste. Smarte Türschlösser führen eine Ereignishistorie, aus der sich ablesen lässt, wann jemand das Haus verlässt und zurückkommt. Energiemonitoring im Minutentakt zeigt Dusch-, Koch- und Schlafzeiten. Jede dieser Spuren ist für den Betrieb nur in stark reduzierter Form nötig; die Auflösung zu senken und Löschfristen zu setzen entschärft sie ohne Funktionsverlust.

Die vierte Risikoquelle ist der Hersteller selbst. Geräte, deren Funktion vollständig von einer Cloud abhängt, verlieren mit deren Abschaltung ihren Zweck, und Geräte ohne Sicherheitsupdates werden zum Einfallstor. Die Delegierte Verordnung (EU) 2022/30 verlangt seit dem 01.08.2025 Netzsicherheit und Schutz personenbezogener Daten als Produkteigenschaft; der Cyber Resilience Act, Verordnung (EU) 2024/2847, schreibt einen Supportzeitraum von mindestens fünf Jahren vor, ist aber erst ab dem 11.09.2026 mit Meldepflichten und ab dem 11.12.2027 vollständig anwendbar. Die Stiftung Warentest fand 2020 bei mehreren smarten Türschlössern Sicherheitsmängel, das BSI warnte zum Abus HomeTec Pro CFA 3000.

Fachliches Urteil: Die Rangfolge lautet Bild und Ton vor Verhaltensdaten vor Zustandsdaten, Innenbereich vor Außenbereich, Cloud vor lokaler Verarbeitung. Wer diese Reihenfolge kennt, kann seine Geräteliste in einer halben Stunde nach Risiko sortieren und die kritischen Positionen entweder streichen, datenärmer konfigurieren oder sauber begründen und dokumentieren. Bei Zweifeln gewinnt fast immer die datenarme Variante: Ein mechanischer Schlüsselkasten hat keine Ereignishistorie, und ein Handthermostat verrät nicht, wann geduscht wurde. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Beginnen Sie mit den Tatsachen und nicht mit dem Gerät. Wie viele Vorfälle gab es in den vergangenen drei Jahren tatsächlich, welcher Art waren sie, und wie hoch war der jeweilige Schaden? Zwei Partynächte in fünf Jahren rechtfertigen andere Maßnahmen als monatliche Ruhestörungen, und ein einmaliger Rohrbruch begründet einen Wassermelder klarer als jedes Sicherheitsgefühl. Diese Faktenbasis ist doppelt nützlich: Sie trägt die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO, weil die Orientierungshilfe der Datenschutzkonferenz konkrete Tatsachen verlangt, und sie verhindert Investitionen in Probleme, die es gar nicht gibt.

Zweiter Schritt ist die Suche nach dem milderen Mittel, und sie fällt fast immer ergiebiger aus als erwartet. Gegen Überbelegung hilft eine klare Regelung im Mietvertrag und eine Kaution häufig besser als ein Präsenzmelder. Gegen Lärm wirkt eine Hausordnung mit spürbarer Konsequenz, ergänzt um einen Ansprechpartner vor Ort. Gegen vergessene Schlüssel hilft ein Schlüsseltresor. Gegen Frostschäden genügt oft ein einfacher Temperaturwächter ohne Personenbezug. Erst wenn keines dieser Mittel greift, ist der Einsatz von Sensorik überhaupt begründbar – und dann in der datenärmsten Variante.

Der dritte Schritt beziffert den Nutzen so ehrlich wie möglich. Bei der Heizung liegen die Größenordnungen belegbar vor: co2online nennt für programmierbare Thermostate rund 10 Prozent Einsparung, bei 110 m² im Mittel 190 € im Jahr mit einer Spanne von 105 bis 205 € das Umweltbundesamt nennt ebenfalls rund 10 Prozent. Die Verbraucherzentrale-Energieberatung beziffert Nachtabsenkung mit 5 bis 12 Prozent und Abwesenheitsabsenkung mit 2 bis 8 Prozent. Das sind Größenordnungen für Wohngebäude, keine Zusagen für Ihr Objekt. Die vollständige Wirtschaftlichkeitsrechnung behandeln wir gesondert.

Auf der anderen Seite stehen die Akzeptanzkosten, die sich nicht direkt messen lassen. Belastbare Erhebungen zu Gästeerwartungen liegen nicht vor, weshalb wir dazu keine Prozentzahlen veröffentlichen. Qualitativ sind die Effekte aber gut belegt: Rückfragen vor der Buchung, Diskussionen bei der Anreise, kritische Passagen in Bewertungen und im Extremfall eine Meldung bei der Plattform. Booking.com sanktioniert nicht offengelegte Überwachungsgeräte bis zur Beendigung des Kontos; ein solcher Verlust wiegt schwerer als jede Ersparnis, die ein Sensor je erwirtschaften könnte. Bewertungswirkungen vertieft die Frage weiter unten in diesem Unterpunkt.

Sehr hilfreich ist eine Staffelung nach Datentiefe. Beginnen Sie mit Technik ohne Personenbezug: Rauchwarnmelder, Wassermelder, Frostwächter, Absperrventil. Diese Geräte schützen Substanz, brauchen keine Datenschutzabwägung und werden von Gästen als Sicherheitsmerkmal geschätzt. Danach folgt Komforttechnik, die der Gast selbst steuert: Zugang, Heizung, Licht, WLAN. Erst zuletzt und nur bei belegtem Bedarf kommt beobachtende Technik. Diese Reihenfolge hat den angenehmen Nebeneffekt, dass die wirtschaftlich stärksten Funktionen zuerst installiert werden.

Regional verschiebt sich die Abwägung spürbar. An der MV-Ostseeküste wohnen viele Eigentümer mehrere hundert Kilometer entfernt, Servicetechniker haben lange Anfahrtswege, in der Nebensaison drohen Frostschäden und bei Sturmlagen Stromausfälle. Das erhöht den Nutzen schadensvermeidender Technik deutlich, ändert aber nichts an der Bewertung beobachtender Sensorik: Ein Wassermelder für 14 bis 50 € Marktspanne spart im Ernstfall eine fünfstellige Sanierung, ein Präsenzmelder spart bestenfalls eine unangenehme Diskussion. In Funklöchern auf Rügen, Usedom oder dem Fischland-Darß-Zingst kippt der Nutzen ohnehin, wenn keine Meldung herauskommt.

Fachliches Urteil: Die Balance gelingt, wenn Sie die dreistufige Prüfung ernsthaft durchlaufen und dabei die Suche nach dem milderen Mittel nicht abkürzen. Technik, die Substanz schützt und keinen Personenbezug erzeugt, ist fast immer richtig; Technik, die Verhalten misst, muss sich an belegten Vorfällen rechtfertigen. Bleibt ein Zweifel, entscheiden Sie gegen den Sensor: Eine gute Hausordnung, eine Kaution und ein aufmerksamer Nachbar sind milder, billiger und in der Wirkung oft überlegen. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Das Verzeichnis nach Art. 30 DSGVO ist der Kern und in der Praxis eine Tabelle. Je Verarbeitung notieren Sie den Zweck, die Kategorien betroffener Personen, die Datenarten, die Empfänger, die Löschfrist und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Für ein Ferienobjekt sind das typischerweise fünf bis zehn Zeilen: Zugangsvergabe, Netzbetrieb, Heizungssteuerung, Gefahrenmelder, gegebenenfalls Außenkamera und Lärmpegelmessung. Die Erleichterung des Absatzes 5 für Einheiten unter 250 Beschäftigten greift nicht, sobald die Verarbeitung nicht nur gelegentlich erfolgt – bei laufender Vermietung ist das durchgängig der Fall.

Für jede Verarbeitung auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO gehört die Abwägung schriftlich hinterlegt. Die Orientierungshilfe der Datenschutzkonferenz vom 03.09.2020 gibt die Struktur vor: konkrete Tatsachen, die den Bedarf belegen, die Erforderlichkeit im Sinne eines fehlenden milderen Mittels und die Einzelfallabwägung mit den Interessen der Betroffenen. Halten Sie dabei fest, welche Alternativen Sie geprüft und aus welchem Grund Sie sie verworfen haben. Diese eine Seite ist im Streitfall der wichtigste Nachweis, und sie zwingt Sie ohnehin zu einer sauberen Entscheidung.

Prüfen Sie außerdem die Schwelle für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt; die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche ist dort ausdrücklich genannt. Bei einer einzelnen Außenkamera mit engem Blickfeld auf das eigene Grundstück liegt das in der Regel nicht vor, bei mehreren Kameras oder kombinierter Sensorik über mehrere Objekte kann es anders aussehen. Die Prüfung selbst und ihr Ergebnis gehören dokumentiert, auch wenn sie negativ ausfällt.

Das Geräteinventar verbindet Datenschutz mit Betrieb und Wartung. Erfassen Sie je Gerät Modell, Standort, Anschaffungsdatum, Firmwarestand, Supportende, gespeicherte Datenarten, Speicherfrist und die Konten, die Zugriff haben. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, schreibt einen Supportzeitraum von mindestens fünf Jahren vor, ist aber erst ab dem 11.09.2026 mit Meldepflichten und ab dem 11.12.2027 vollständig anwendbar – bis dahin ist die Angabe des Herstellers die einzige verlässliche Quelle. Für Rauchwarnmelder kommt die Dokumentation nach DIN 14676 hinzu: Inspektion mindestens alle 12 Monate, Austausch nach 10 Jahren.

Verträge und Zuständigkeiten sind der vierte Baustein. Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO: die Hausverwaltung, der Reinigungsdienst, wenn er Zugangsdaten oder Belegungsinformationen erhält, und jeder Cloud-Anbieter, dessen Plattform Ihre Geräte steuert. Ergänzend beschreiben Sie die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO: Passwortregeln, Netztrennung, Updatezyklen, Zugriffsrollen, Sperrung ausgeschiedener Personen. Eine Rollenliste mit Namen, Zugang und Datum genügt für kleine Portfolios vollkommen.

Zuletzt die Prozesse. Ein Löschkonzept nennt je Datenart die Frist und die Umsetzung; für Videoaufnahmen gilt eine Regelspeicherdauer von 72 Stunden, längere Fristen sind zu begründen. Ein Verfahren für Betroffenenanfragen legt fest, wer Auskunftsersuchen bearbeitet und in welcher Frist. Für Datenpannen brauchen Sie einen Meldeweg: Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden, in Mecklenburg-Vorpommern an den Landesbeauftragten für Datenschutz und Informationsfreiheit. Hinterlegen Sie Kontakt und Zuständigkeit dort, wo sie im Ernstfall gefunden werden – nicht im Ordner am Wohnort.

Fachliches Urteil: Für ein einzelnes Ferienobjekt ist der Aufwand überschaubar: ein Verzeichnis, eine Abwägung je kritischer Funktion, ein Geräteinventar, die Auftragsverarbeitungsverträge, eine Beschreibung der Schutzmaßnahmen und ein Löschkonzept. Zusammen sind das wenige Seiten, die einmal erstellt und danach bei jeder Änderung fortgeschrieben werden. Die wirksamste Vereinfachung bleibt die Reduktion: Wer auf beobachtende Sensorik verzichtet und beim Schlüsselkasten bleibt, spart Verzeichniszeilen, Abwägungen und Prüfpflichten in einem Zug. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Unterscheiden Sie drei Zeitpunkte, weil sie unterschiedliche Reaktionen verlangen. Vor der Buchung geht es um eine Informationsfrage: Der Interessent will wissen, was ihn erwartet, und entscheidet danach. Während des Aufenthalts geht es um Deeskalation: Der Gast steht im Haus, fühlt sich unwohl und erwartet eine sofortige, überprüfbare Antwort. Nach der Abreise geht es um Betroffenenrechte und gegebenenfalls um eine Beschwerde. Für alle drei gilt dieselbe Grundhaltung: nicht rechtfertigen, sondern erklären, und niemals behaupten, was Sie nicht belegen können.

Bei Anfragen vor der Buchung hilft ein vorbereitetes Faktenblatt. Es nennt jedes Gerät, seinen Standort, seinen Zweck, was es erfasst, was es ausdrücklich nicht erfasst, die Speicherdauer und einen Ansprechpartner. Diese Angaben decken sich mit den Pflichtinformationen nach Art. 13 DSGVO und lassen sich in wenigen Sätzen versenden. Wenn ein Interessent trotz vollständiger Auskunft Bedenken behält, ist die Buchung für beide Seiten selten sinnvoll; eine freundliche Absage kostet weniger als ein Aufenthalt, der mit Misstrauen beginnt und in einer Bewertung endet.

Während des Aufenthalts zählt Tempo und Nachprüfbarkeit. Bieten Sie an, das fragliche Gerät gemeinsam anzusehen, schicken Sie ein Foto mit Typenbezeichnung, oder benennen Sie die Modellbezeichnung, damit der Gast selbst nachlesen kann. Lässt sich ein Gerät für die Dauer des Aufenthalts abschalten, ohne dass eine Pflicht verletzt wird, tun Sie das und halten es schriftlich fest. Rauchwarnmelder gehören ausdrücklich nicht dazu: Ihre Betriebsbereitschaft ist nach § 48 Abs. 4 LBauO M-V geschuldet und darf nicht ausgesetzt werden. Ein Ansprechpartner in der Region ist hier mehr wert als jede Fernkommunikation.

Die rechtliche Ebene ist überschaubar. Nach Art. 15 DSGVO kann ein Gast Auskunft darüber verlangen, welche Daten Sie zu ihm verarbeiten; nach Art. 17 kann er unter bestimmten Voraussetzungen Löschung verlangen; nach Art. 21 kann er einer Verarbeitung widersprechen, die auf das berechtigte Interesse gestützt ist. Art. 12 Abs. 3 DSGVO setzt die Frist: unverzüglich, spätestens innerhalb eines Monats, verlängerbar um weitere zwei Monate bei Komplexität. Antworten Sie schriftlich, konkret und ohne Pauschalformeln – und dokumentieren Sie Anfrage und Antwort, weil Art. 5 Abs. 2 DSGVO den Nachweis verlangt.

Eskaliert der Fall, gibt es zwei Wege, die unabhängig voneinander laufen. Der Gast kann sich nach Art. 77 DSGVO bei der zuständigen Aufsichtsbehörde beschweren, für Objekte in Mecklenburg-Vorpommern beim Landesbeauftragten für Datenschutz und Informationsfreiheit. Und er kann die Plattform einschalten: Booking.com verlangt die Offenlegung aller Überwachungsgeräte im Extranet und sanktioniert Verstöße bis zur Beendigung des Kontos, Airbnb verbietet Innenkameras seit dem 30.04.2024 weltweit. Der plattformseitige Weg ist für Sie regelmäßig der schmerzhaftere, weil er Sichtbarkeit und Umsatz unmittelbar trifft.

Behandeln Sie jede Beschwerde außerdem als Betriebsinformation. Wenn dasselbe Gerät mehrfach Fragen auslöst, liegt das selten am Gast, sondern an fehlender Vorabinformation, unglücklicher Platzierung oder an einem Gerät, das schlicht überflüssig ist. Halten Sie Anlass, Reaktion und Ergebnis fest, und prüfen Sie nach der Saison, welche Geräte wiederholt aufgefallen sind. In der Kernsaison von Juni bis September wechseln die Gäste an der Ostseeküste so schnell, dass sich ein Muster innerhalb weniger Wochen zeigt – und dann ist eine Änderung vor der nächsten Saison die günstigste Lösung.

Fachliches Urteil: Wer schnell, konkret und überprüfbar antwortet, entschärft nahezu jede Datenschutzsorge, bevor sie zur Bewertung oder zur Beschwerde wird. Halten Sie ein Faktenblatt bereit, kennen Sie die Fristen der Betroffenenrechte, dokumentieren Sie jede Anfrage und behandeln Sie Häufungen als Konstruktionsfehler Ihrer Ausstattung. Führt ein Gerät regelmäßig zu Diskussionen, ist der Ausbau die ehrlichste Antwort: Weniger Vernetzung kostet hier nichts und erspart Ihnen dauerhaften Erklärungsaufwand. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Die Asymmetrie hat einen einfachen Grund: Gäste bewerten Abweichungen von der Erwartung. Warme Räume, funktionierendes Licht und ein Zugang, der beim ersten Versuch klappt, gelten als selbstverständlich und erzeugen keinen Text. Ein Ausfall dagegen betrifft den Aufenthalt unmittelbar und wird beschrieben. Für Sie folgt daraus eine unangenehme Konsequenz: Zusätzliche Funktionen erhöhen selten die Bewertung, aber jede zusätzliche Funktion kann ausfallen. Die Bewertungswirkung von Smart Home ist damit vor allem eine Frage der Zuverlässigkeit und erst danach eine Frage des Funktionsumfangs.

Der zweite Treiber ist die Bedienbarkeit. Gäste bleiben wenige Nächte und wollen kein System erlernen. Eine App mit Registrierungszwang, ein Tablet mit mehreren Menüebenen oder eine Lichtszene, die sich nicht per Wandschalter überstimmen lässt, erzeugen Frust, der in Bewertungen als kompliziert oder unpersönlich beschrieben wird. Bewährt hat sich die Regel, dass jede smarte Funktion eine sichtbare analoge Rückfallebene behält: Drehrad am Thermostat, Wandschalter am Licht, mechanischer Zylinder als Ersatz. Details zur Bedienlogik in 20.9 und 20.12, zur Ausfallsicherheit in 20.16.

Der dritte und schärfste Treiber ist Überraschung. Eine Kamera am Carport, die im Inserat steht, ist ein Sicherheitsmerkmal; dieselbe Kamera, unangekündigt entdeckt, ist ein Vertrauensbruch und wird entsprechend formuliert. Genau deshalb verlangen die Plattformen Offenlegung: Airbnb fordert sie für Außen- und Türklingelkameras vor der Buchung und verbietet Innenkameras seit dem 30.04.2024 weltweit; Booking.com verlangt die Angabe aller Überwachungsgeräte im Extranet und sanktioniert Verstöße bis zur Kontobeendigung. Die Offenlegung schützt damit nicht nur rechtlich, sondern unmittelbar Ihre Bewertung.

Regional kommen Faktoren hinzu, die Sie nur begrenzt beeinflussen. In Teilen von Rügen, Usedom, dem Fischland-Darß-Zingst und im Binnenland bestehen Mobilfunk- und Breitbandlücken; ein cloudabhängiger Zugang, der dort nicht öffnet, erzeugt eine schlechte Bewertung, obwohl das Gerät funktioniert. Bei Sturmlagen fallen Strom und Internet aus, und Servicetechniker haben lange Anfahrtswege. In der Kernsaison von Juni bis September wechseln die Gäste so schnell, dass ein Defekt binnen weniger Tage mehrfach beschrieben wird. Wer hier lokal arbeitende Automationen und eine mechanische Rückfallebene vorsieht, kauft sich Bewertungsstabilität.

Ein eigenständiges Risiko liegt in der öffentlichen Antwort auf eine Bewertung. Wenn Sie schreiben, das Zutrittsprotokoll zeige eine Ankunft um drei Uhr nachts, oder der Lärmsensor habe an zwei Abenden ausgeschlagen, verarbeiten Sie personenbezogene Daten in aller Öffentlichkeit – ohne tragfähige Rechtsgrundlage und entgegen der Zweckbindung des Art. 5 Abs. 1 lit. b DSGVO. Aus einer unangenehmen Bewertung wird so ein Datenschutzvorfall mit Beschwerderisiko. Antworten Sie deshalb sachlich und ohne Daten aus Ihrer Technik; Details klären Sie im direkten Kontakt, nicht im öffentlichen Kommentar.

Betrieblich lohnt es sich, Bewertungen als Frühwarnsystem zu lesen. Häufen sich Hinweise auf ein bestimmtes Gerät, ist die Ursache selten der Gast: Meist fehlt die Vorabinformation, die Platzierung ist unglücklich, oder die Funktion ist überflüssig. Werten Sie nach der Saison aus, welche Technik wiederholt auftaucht, und entscheiden Sie vor der nächsten Saison. Mecklenburg-Vorpommern führte im Februar 2024 nach der DFV/Statista-Erhebung mit 99.334 Ferienobjekten und rund 95 Prozent Online-Vermarktung; in einem so dicht besetzten Markt wirken wiederkehrende Kritikpunkte unmittelbar auf die Sichtbarkeit.

Fachliches Urteil: Smart Home verbessert Bewertungen nicht durch Umfang, sondern durch Zuverlässigkeit, Bedienbarkeit und Offenheit. Kündigen Sie jede Technik vor der Buchung an, halten Sie für jede Funktion eine analoge Rückfallebene bereit, und argumentieren Sie in öffentlichen Antworten niemals mit Daten aus Ihren Geräten. Wo ein Objekt seine Stärke in Ruhe und Ursprünglichkeit hat, ist der bewusste Verzicht auf Vernetzung ein Verkaufsargument – Schlüsselkasten und Kaminofen werden in Bewertungen regelmäßig positiv erwähnt. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.

Fehler eins ist die fehlende Offenlegung. Sie entsteht fast nie böswillig, sondern durch Nachrüstung ohne Textpflege: Ein Bewegungsmelder wird ergänzt, das Inserat bleibt unverändert. Booking.com verlangt die Angabe aller Überwachungsgeräte, ausdrücklich auch von Bewegungsmeldern und Türklingeln mit Mikrofon, und stellt dafür im Extranet einen eigenen Bereich bereit; Verstöße können bis zur Beendigung des Kontos führen. Airbnb verlangt die Offenlegung von Außen- und Türklingelkameras vor der Buchung. Nehmen Sie deshalb die Textpflege in jede Nachrüstung auf, so wie die Elektroabnahme.

Fehler zwei ist die Kamera im Innenbereich, einschließlich der vermeintlich harmlosen Varianten. Airbnb hat sämtliche Innenkameras zum 30.04.2024 weltweit verboten, Booking.com untersagt Überwachungsgeräte in exklusiv gemieteten Bereichen. Strafrechtlich stellt § 201a StGB Bildaufnahmen aus Wohnungen und höchstpersönlichen Räumen unter Strafe von bis zu zwei Jahren, ausdrücklich einschließlich Gästezimmern. Die Ausweichlösung Attrappe trägt nicht: Nach dem AG Frankfurt, 33 C 3407/14, können auch Attrappen das allgemeine Persönlichkeitsrecht verletzen, weil sie Überwachungsdruck erzeugen. Auch nach außen gerichtete Kameras dürfen Nachbargrundstücke und öffentliche Flächen regelmäßig nicht erfassen.

Fehler drei betrifft die Netzebene und fällt erst auf, wenn etwas passiert ist. Typisch sind unveränderte Werkspasswörter, ein Fernzugriff, der ohne Not aus dem Internet erreichbar ist, aktives UPnP und ein Gastnetz, das nicht sauber von der Objekttechnik getrennt ist. Das BSI empfiehlt für IoT im Objekt ein separates Netz für die Technik, ein strikt getrenntes Gastnetz, konsequente Updates, begrenzten Fernzugriff, ein WLAN-Passwort mit 20 und mehr Zeichen und deaktiviertes UPnP. Für Funkgeräte verlangt die seit dem 01.08.2025 geltende Delegierte Verordnung (EU) 2022/30 zusätzlich Netzsicherheit und Schutz personenbezogener Daten als Produkteigenschaft.

Fehler vier ist die fehlende Löschung. Zutrittsprotokolle laufen jahrelang mit, Router speichern Verbindungslisten, Kameraaufnahmen bleiben wochenlang liegen, und im Fernseher hängen die Streamingkonten von Gästen aus der Vorsaison. Für Videoaufnahmen gilt eine Regelspeicherdauer von 72 Stunden, längere Fristen sind zu begründen; Art. 5 Abs. 1 lit. e DSGVO verlangt allgemein eine Speicherbegrenzung. Der praktische Hebel ist banal: eine Löschfrist je Datenart und das Zurücksetzen von Unterhaltungsgeräten als fester Punkt im Abreisecheck, gleichrangig mit dem Leeren des Kühlschranks.

Fehler fünf ist organisatorisch. Es fehlen das Verzeichnis nach Art. 30 DSGVO, die schriftliche Abwägung zum berechtigten Interesse, die Beschreibung der Maßnahmen nach Art. 32 DSGVO und die Verträge nach Art. 28 DSGVO mit Verwaltung, Reinigungsdienst und Cloud-Anbieter. Der Bußgeldrahmen des Art. 83 DSGVO reicht für Verstöße gegen diese Organisationspflichten bis zu 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes, für Verstöße gegen Grundsätze und Betroffenenrechte bis zu 20 Mio. € oder 4 Prozent, jeweils der höhere Wert. Das ist ein Rahmen und keine Prognose für ein einzelnes Ferienobjekt.

Fehler sechs ist die stille Zweckänderung. Ein Zutrittsprotokoll, das der Schlüsselverwaltung dient, wird zur Kontrolle der Aufenthaltszeiten ausgewertet; Lärmwerte werden in einer öffentlichen Bewertungsantwort zitiert; Belegungsdaten wandern an Dritte. Das verstößt gegen die Zweckbindung des Art. 5 Abs. 1 lit. b DSGVO und wiegt schwerer als der ursprüngliche Einsatz. Verwandt ist der Lebenszyklusfehler: Geräte ohne Sicherheitsupdates bleiben im Betrieb. Der Cyber Resilience Act verlangt künftig einen Supportzeitraum von mindestens fünf Jahren, greift mit Meldepflichten aber erst ab dem 11.09.2026 und vollständig ab dem 11.12.2027.

Fachliches Urteil: Die Fehlerliste ist kurz und wiederholt sich: nicht offengelegt, innen gefilmt, Werkseinstellung belassen, nicht gelöscht, nicht dokumentiert, Zweck heimlich erweitert. Wer diese sechs Punkte einmal im Jahr durchgeht, deckt den größten Teil des Risikos ab. Bei Altgeräten, deren Blickfeld, Speicherverhalten oder Supportstatus unklar ist, ist der Rückbau die schnellste und billigste Lösung – weniger Vernetzung und ein mechanischer Schlüsseltresor sind hier keine Rückschritte, sondern eine belastbare Entscheidung. Diese Einordnung ersetzt keine qualifizierte Fachplanung: Auslegung, Installation, Abnahme und Prüfung gehören zu zugelassenen Fachbetrieben, datenschutz- und strafrechtliche Bewertungen zu Ihrer Rechtsberatung und zur zuständigen Aufsichtsbehörde.