DSGVO-Leitfaden für den Fahrradverleih: Das gilt 2026

Mietverträge mit Name und Adresse, Ausweisdaten bei der Übergabe, Zahlungsinformationen, vielleicht noch GPS-Daten der E-Bikes: Ein Fahrradverleih verarbeitet an jeder Ecke personenbezogene Daten. Die DSGVO regelt seit 2018, wie damit umzugehen ist. Sie gilt in Deutschland, Österreich und Italien (also auch Südtirol) unmittelbar; die Schweiz hat mit dem revidierten Datenschutzgesetz (revDSG) seit 2023 ein weitgehend gleichwertiges Regelwerk. Dieser Leitfaden fasst zusammen, was 2026 für Verleihbetriebe im gesamten DACH-Raum und in Südtirol gilt. Er ersetzt keine Rechtsberatung, gibt aber eine solide Arbeitsgrundlage.

Das Wichtigste in Kürze

Fast alle Daten im Verleih dürfen Sie ohne Einwilligung verarbeiten, weil sie für den Mietvertrag nötig sind. Einwilligungen brauchen Sie nur für Extras wie Newsletter oder Fotos.
Ausweiskopien sind tabu. Die Sichtprüfung mit kurzer Notiz reicht und ist datenschutzkonform.
Mietverträge und Belege müssen je nach Land 6 bis 10 Jahre aufbewahrt werden, danach müssen sie gelöscht werden. Beides verlangt ein Löschkonzept.
Mit dem Software-Anbieter brauchen Sie einen Auftragsverarbeitungsvertrag (AVV). Ein seriöser Anbieter stellt ihn unaufgefordert bereit.
Bei einer Datenpanne gilt die 72-Stunden-Meldefrist an die Aufsichtsbehörde.

Welche Daten ein Verleih typischerweise verarbeitet

Im Tagesgeschäft eines Fahrradverleihs fallen diese Datenarten an:

Stammdaten: Name, Adresse, E-Mail, Telefonnummer für Buchung und Mietvertrag
Identitätsdaten: Ausweisprüfung bei der Übergabe, besonders bei hochwertigen E-Bikes
Zahlungsdaten: Kreditkarte, Kaution, Rechnungen
Vertragsdaten: Mietzeitraum, Rad, Zustand, Unterschrift, Schäden
Optionale Daten: Newsletter-Adressen, Kundenfotos, GPS-Positionen von Trackern

Für jede dieser Datenarten braucht es eine Rechtsgrundlage und eine definierte Speicherdauer. Die gute Nachricht: Für das Kerngeschäft ist die Rechtsgrundlage fast immer der Mietvertrag selbst (Art. 6 Abs. 1 lit. b DSGVO). Eine gesonderte Einwilligung ist dafür nicht nötig und wäre sogar falsch, weil Einwilligungen jederzeit widerrufbar sind.

Rechtsgrundlagen und Speicherfristen im Überblick

Datenart	Rechtsgrundlage	Speicherdauer
Name, Adresse, Mietvertrag	Vertragserfüllung (Art. 6 Abs. 1 lit. b)	6–10 Jahre je nach Land, siehe Ländervergleich unten
Rechnungen, Zahlungsbelege	Rechtliche Verpflichtung (lit. c)	7–10 Jahre je nach Land, siehe Ländervergleich unten
Ausweisprüfung	Berechtigtes Interesse (lit. f)	Nur Sichtprüfung mit Vermerk, keine Kopie
Newsletter-Adresse	Einwilligung (lit. a)	Bis zum Widerruf
GPS-Daten der Räder	Berechtigtes Interesse (lit. f)	Löschung kurz nach Rückgabe
Kundenfotos für Marketing	Einwilligung (lit. a)	Bis zum Widerruf

Die Aufbewahrungspflicht und die Löschpflicht sind zwei Seiten derselben Medaille: Was Sie aufbewahren müssen, dürfen Sie nicht früher löschen. Was Sie nicht mehr brauchen, müssen Sie löschen. Ein Löschkonzept hält beides fest.

Ländervergleich: Deutschland, Österreich, Schweiz, Südtirol

Die Grundprinzipien sind in allen vier Märkten gleich, bei Fristen und Details lohnt der genaue Blick:

	Datenschutzrecht	Aufbewahrung Belege und Verträge	Datenschutzbeauftragter
Deutschland	DSGVO + BDSG	6–10 Jahre (§ 147 AO)	Pflicht ab 20 Personen mit ständiger Datenverarbeitung (§ 38 BDSG)
Österreich	DSGVO + DSG	7 Jahre (§ 132 BAO)	Keine Personen-Schwelle, nur die Kriterien der DSGVO selbst
Schweiz	revDSG (seit 2023)	10 Jahre (Art. 958f OR)	Freiwillig
Südtirol / Italien	DSGVO + Codice Privacy	10 Jahre (Art. 2220 Codice Civile)	Keine Personen-Schwelle, nur die Kriterien der DSGVO selbst

Für die Praxis heißt das: Wer seine Prozesse auf die DSGVO ausrichtet, ist auch in der Schweiz auf der sicheren Seite, weil das revDSG dieselben Grundprinzipien verfolgt. Nur die Aufbewahrungsfrist muss je nach Sitz des Betriebs richtig eingestellt sein.

Die fünf Pflichten, die jeden Verleiher betreffen

1. Verzeichnis von Verarbeitungstätigkeiten. Eine simple Tabelle, welche Daten Sie wofür verarbeiten, mit welcher Rechtsgrundlage und Speicherdauer. Die Tabelle oben ist dafür ein guter Startpunkt. Auch kleine Betriebe brauchen das Verzeichnis, weil regelmäßig Kundendaten verarbeitet werden.

2. Informationspflichten. Ihre Kunden müssen bei der Datenerhebung erfahren, was mit ihren Daten passiert. In der Praxis heißt das: Datenschutzerklärung auf der Website und ein Hinweis im Mietvertrag. Details dazu im Artikel Datenschutzerklärung im Verleihgeschäft.

3. Auftragsverarbeitungsvertrag mit dem Software-Anbieter. Sobald eine Verleihsoftware Kundendaten für Sie speichert, ist der Anbieter Auftragsverarbeiter. Der AVV regelt, dass er die Daten nur nach Ihrer Weisung verarbeitet, angemessen sichert und Unterauftragnehmer offenlegt. Bietet ein Anbieter keinen AVV an, ist das ein Ausschlusskriterium.

4. Betroffenenrechte bedienen. Auskunft, Berichtigung, Löschung: Auf ein Auskunftsersuchen müssen Sie innerhalb eines Monats vollständig antworten. Wie das praktisch aussieht, zeigt das Rechenbeispiel unten.

5. Datenpannen melden. Geht ein Laptop mit Kundendaten verloren oder wird das System kompromittiert, bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. In der Schweiz verlangt das revDSG die Meldung „so rasch als möglich". Dokumentieren Sie jeden Vorfall intern, auch wenn keine Meldung nötig ist.

Heikle Praxisfälle kurz beantwortet

Darf ich den Ausweis kopieren? Nein, die Kopie ist unverhältnismäßig. Zulässig ist die Sichtprüfung mit einem Vermerk wie „Ausweis geprüft" im Mietvertrag. Wer zusätzliche Sicherheit bei teuren E-Bikes will, arbeitet mit Kaution statt mit Ausweiskopie.

Darf ich die Räder per GPS orten? Beim eigenen Eigentum grundsätzlich ja, aber transparent: Der Hinweis gehört in den Mietvertrag, und Bewegungsdaten werden nicht auf Vorrat ausgewertet, sondern nur bei konkretem Anlass wie Diebstahl. Nach der Rückgabe werden die Positionsdaten gelöscht.

Darf ich Kundendaten für Werbung nutzen? Deutschland, Österreich und die Schweiz kennen jeweils eine Bestandskunden-Ausnahme: E-Mail-Werbung für ähnliche eigene Leistungen ist unter engen Voraussetzungen auch ohne Einwilligung möglich, mit Hinweis bei der Erhebung und Abmeldemöglichkeit in jeder Mail. Die Details unterscheiden sich aber je Land. Sauberer und in allen vier Märkten rechtssicher ist die aktive Newsletter-Einwilligung beim Checkout.

Was ist mit Kinderdaten? Bei Familienbuchungen stehen oft Namen und Alter der Kinder im Vertrag (Radgröße, Helm). Das ist für die Vertragserfüllung zulässig, sollte aber auf das Nötigste beschränkt bleiben.

Brauche ich einen Datenschutzbeauftragten?

Die meisten Fahrradverleihe: nein. Die DSGVO selbst verlangt einen Datenschutzbeauftragten nur bei umfangreicher, systematischer Überwachung oder sensiblen Daten im Kerngeschäft, was auf einen Verleih nicht zutrifft. Deutschland hat mit § 38 BDSG eine zusätzliche Schwelle: Pflicht erst ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Österreich und Italien kennen keine solche Personen-Schwelle, dort bleibt es bei den DSGVO-Kriterien. In der Schweiz ist die Benennung freiwillig.

Ein Verleih mit 5 bis 15 Mitarbeitern braucht damit in keinem der vier Märkte einen Beauftragten. Bei Hotelketten oder Multi-Standort-Betreibern mit zentraler Buchungsverwaltung kann es anders aussehen, meist existiert dort aber ohnehin ein Datenschutzbeauftragter auf Unternehmensebene. Unabhängig von der Pflicht gilt: Verantwortlich für die Einhaltung bleibt immer die Geschäftsführung, ein Beauftragter berät und kontrolliert nur.

Die häufigsten DSGVO-Fehler im Verleihalltag

Aus der Praxis wiederholen sich vor allem diese Muster:

Ausweiskopien im Ordner: Jahrelang gesammelte Kopien sind ein Datenleck auf Vorrat. Bestand vernichten, auf Sichtprüfung umstellen.
Offener Bildschirm am Tresen: Kunden sehen beim Bezahlen die Daten anderer Kunden. Bildschirm drehen oder Sperrbildschirm nutzen.
Ein Login für alle: Wenn das ganze Team denselben Zugang nutzt, lässt sich kein Zugriff nachvollziehen. Personenbezogene Logins mit Rollen sind Pflichtprogramm.
Newsletter ohne Einwilligung: Alle bisherigen Mietkunden pauschal in den Verteiler zu übernehmen, ist der Klassiker unter den Abmahn-Risiken.
Kein Offboarding: Saisonkräfte behalten nach Vertragsende ihre Zugänge. Zugänge gehören am letzten Arbeitstag deaktiviert.

Keiner dieser Fehler kostet Geld in der Behebung, alle kosten potenziell Geld, wenn sie liegen bleiben.

Rechenbeispiel: Papierarchiv gegen digitale Verwaltung

Angenommen, ein Verleih schließt 1.500 Mietverträge pro Saison auf Papier ab. Bei bis zu 10 Jahren Aufbewahrungspflicht wächst das Archiv auf 15.000 Verträge in rund 20 Ordnern, die abschließbar und vor Zugriff geschützt gelagert werden müssen.

Jeder Zugriff kostet Zeit: ein Schadensfall, eine Rückfrage vom Finanzamt, ein Auskunftsersuchen. Realistisch sind 15 bis 30 Minuten pro Suchvorgang. Schon bei zwei Vorgängen pro Woche in der Saison (26 Wochen) ergibt das:

52 Suchvorgänge × 20 Minuten = rund 17 Stunden pro Jahr
Bei 20 € Personalkosten pro Stunde: ca. 350 € pro Jahr nur für das Suchen

Ein Auskunftsersuchen nach Art. 15 DSGVO verschärft das: Sie müssen alle Daten einer Person zusammentragen, auch aus E-Mails und Zahlungsunterlagen. Im Papierbetrieb sind das schnell 2 bis 3 Stunden pro Anfrage. Eine Verleihsoftware mit Kundenakte und Datenexport erledigt denselben Vorgang in wenigen Minuten, und die Löschfristen lassen sich systematisch statt per Erinnerungszettel umsetzen.

Checkliste: Was DSGVO-konforme Verleihsoftware leisten muss

Prüfen Sie bei der Software-Auswahl diese Punkte:

AVV verfügbar, inklusive Liste der Unterauftragnehmer
Hosting in der EU mit verschlüsselter Übertragung (TLS)
Digitale Verträge statt Papierarchiv, mit geregeltem Zugriff
Rollen und Berechtigungen: Saisonkräfte sehen nur, was sie brauchen
Datenexport für Auskunftsersuchen und einen späteren Anbieterwechsel
Löschbarkeit von Kundendaten nach Ablauf der Fristen
Keine Zweckentfremdung: Der Anbieter nutzt Ihre Kundendaten nicht für eigene Zwecke

Warum Verleihtool?

Verleihtool ist darauf ausgelegt, die DSGVO-Umsetzung im Verleihalltag mitzuerledigen statt sie Ihnen aufzubürden:

Mietverträge entstehen digital mit digitaler Unterschrift: kein Papierarchiv, kein abschließbarer Schrank, Zugriff in Sekunden
Die Online-Buchung erhebt nur die Daten, die für den Vertrag nötig sind
Kundendaten liegen zentral in der Kundenakte, Export und Löschung inklusive, mehr dazu im Artikel DSGVO-konforme Kundendaten
Zahlungen laufen über etablierte, zertifizierte Zahlungsdienstleister, Kartendaten berühren Ihr System nicht
AVV und EU-Hosting sind Standard, bei Fragen hilft der Kontakt zum Support

Handlungsempfehlung

Erstellen Sie zuerst Ihr Verzeichnis der Verarbeitungstätigkeiten anhand der Tabelle oben, das ist in einer Stunde erledigt. Stellen Sie danach die Papierprozesse auf digitale Verträge um, denn das Papierarchiv ist im Verleih die größte DSGVO-Schwachstelle und gleichzeitig der größte Zeitfresser. Prüfen Sie Ihre Software gegen die 7-Punkte-Checkliste. Wenn Ihr aktuelles System AVV, Export oder Löschung nicht bietet, ist das ein guter Anlass für einen Wechsel: Der Kaufberater zeigt in 3 Schritten, welches Verleihtool-Paket passt.