Digitalisierung

DSGVO in der Hausverwaltung: Welche Datenschutzpflichten Verwalter und Eigentümergemeinschaften wirklich treffen

DSGVO Hausverwaltung praxisnah: Wer ist Verantwortlicher, welche Rechtsgrundlagen gelten, welche Fristen laufen — plus Praxisfälle, Checkliste und KI-VO.

Daniel Mathiesen

Daniel Mathiesen

— 12 min read

Auf einen Blick: Eine Hausverwaltung verarbeitet dauerhaft personenbezogene Daten — Namen, Anschriften, Bankverbindungen, Verbrauchsdaten, Zahlungsrückstände, Schriftverkehr. Verantwortlich ist je nach Zweck sowohl die Gemeinschaft der Wohnungseigentümer als auch der Verwalter. Wer welche Rolle trägt, gehört in den Verwaltervertrag. Dieser Beitrag ordnet die Rollen, benennt die Rechtsgrundlagen, arbeitet die Pflichten von Art. 13 DSGVO über die Auftragsverarbeitung bis zur 72-Stunden-Meldung ab und löst die typischen Praxisfälle: Eigentümerliste, Aushang, E-Mail-Verteiler, Videoüberwachung, Portal, KI-Einsatz.

Gliederung

  • Wer ist Verantwortlicher: Gemeinschaft, Verwalter oder beide?
  • Rechtsgrundlagen: Vertrag, rechtliche Verpflichtung, berechtigtes Interesse
  • Betroffenenrechte: Information, Auskunft, Löschung gegen Aufbewahrungsfristen
  • Auftragsverarbeitung, Verarbeitungsverzeichnis, technische Maßnahmen
  • Datenpannen, Datenschutzbeauftragter, Bußgeldrahmen
  • Praxisfälle: Eigentümerliste, Aushang, Protokolle, Selbstauskunft, Video, Verteiler
  • Cloud, Eigentümerportal und Drittlandtransfer
  • KI-Einsatz und Verhältnis zur EU-KI-Verordnung
  • Rechtslage & Referenzurteile, Checkliste, FAQ

Die Frage nach der DSGVO Hausverwaltung wird in der Praxis meist zu spät gestellt: erst dann, wenn ein Eigentümer eine Auskunft nach Art. 15 DSGVO verlangt, wenn ein Mieter sich über einen Aushang beschwert oder wenn ein Dienstleister eine Datenpanne meldet. Zu diesem Zeitpunkt lässt sich die Rollen- und Dokumentationslage nicht mehr rückwirkend herstellen.

Dabei ist die Ausgangslage nicht kompliziert. Eine Verwaltung verarbeitet drei große Datenbestände: Eigentümerdaten (Namen, Anschriften, Miteigentumsanteile, Bankverbindungen, Hausgeldkonten), Mieterdaten (Verträge, Kautionen, Verbrauchswerte, Zahlungsverhalten) und Dienstleisterdaten. Für jeden lassen sich Zweck, Rechtsgrundlage, Empfänger und Löschfrist benennen. Genau das verlangt die Verordnung.

Verschärft wird die Lage durch zwei Entwicklungen: Der Europäische Gerichtshof hat den Anspruch auf eine Kopie der Daten nach Art. 15 Abs. 3 DSGVO weit ausgelegt, und seit dem 2. August 2026 greifen die Transparenzpflichten der EU-KI-Verordnung, sobald KI-gestützte Assistenzsysteme im Mieter- oder Eigentümerkontakt eingesetzt werden. Dieser Beitrag beschreibt, welche Pflichten bestehen, wo die Praxis danebenliegt und mit welchen Dokumenten sich der Nachweis führen lässt.

DSGVO Hausverwaltung: Wer ist Verantwortlicher?

Gemeinschaft der Wohnungseigentümer und Verwalter

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. In der WEG-Verwaltung fallen diese Entscheidungen auf zwei Ebenen.

Die Gemeinschaft der Wohnungseigentümer (GdWE) ist als rechtsfähige Einheit Verantwortliche für die Verarbeitungen, die zur Erfüllung ihrer eigenen Aufgaben erfolgen: Führung der Eigentümerliste, Erstellung von Jahresabrechnung und Wirtschaftsplan, Einzug des Hausgeldes, Durchführung von Eigentümerversammlungen, Beschluss-Sammlung.

Der Verwalter ist für diese Verarbeitungen in weiten Teilen Auftragsverarbeiter nach Art. 28 DSGVO — er handelt auf Weisung und für die Zwecke der Gemeinschaft. Zugleich ist er für eigene Zwecke Verantwortlicher: eigene Buchhaltung und Rechnungsstellung, Erfüllung eigener steuer- und handelsrechtlicher Aufbewahrungspflichten, Abwehr von Ansprüchen gegen sich selbst, Bewerbermanagement, IT-Sicherheit.

In der Mietverwaltung ist die Lage anders gelagert: Dort ist der einzelne Eigentümer als Vermieter Verantwortlicher, der Verwalter regelmäßig Auftragsverarbeiter — sofern er nicht eigenständig über Zwecke entscheidet.

Die praktische Konsequenz: Die Rollenverteilung gehört ausdrücklich in den Verwaltervertrag, mit einer Anlage, die die einzelnen Verarbeitungen den Rollen zuordnet. Fehlt sie, verweist im Beschwerdefall eine Partei auf die andere, während die Aufsichtsbehörde beide anschreibt.

Rechtsgrundlagen der Verarbeitung

Drei Erlaubnistatbestände tragen den Großteil der Verarbeitungen:

Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung. Trägt die Verarbeitung von Mieterdaten zur Durchführung des Mietvertrags: Stammdaten, Mietzahlungen, Betriebskostenabrechnung, Schriftverkehr, Kaution. Ebenso die Verarbeitung von Eigentümerdaten, soweit sie auf dem Gemeinschaftsverhältnis und dem Verwaltervertrag beruht.

Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung. Trägt alles, was Gesetze verlangen: steuerliche Aufbewahrung nach § 147 AO, handelsrechtliche Aufbewahrung nach §§ 238, 257 HGB, Meldepflichten, Verbrauchserfassung und unterjährige Verbrauchsinformation nach der Heizkostenverordnung, Pflichten aus dem Wohnungseigentumsgesetz wie die Führung der Beschluss-Sammlung.

Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse. Trägt die Verarbeitungen, die weder Vertrag noch Gesetz zwingend vorgeben, aber sachlich erforderlich sind: Videoüberwachung zum Schutz des Gemeinschaftseigentums, Forderungsmanagement, Dokumentation von Schadensfällen, Erreichbarkeitsdaten im Notfall. Voraussetzung ist eine dokumentierte Abwägung: berechtigtes Interesse, Erforderlichkeit, Überwiegen gegenüber den Interessen der betroffenen Person.

Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO sollten die Ausnahme bleiben. Sie sind jederzeit widerruflich und damit als Grundlage für dauerhaft benötigte Verarbeitungen ungeeignet. Sinnvoll sind sie für Zusatzangebote: Newsletter, Aufnahme in eine freiwillige Nachbarschaftsliste, Veröffentlichung von Fotos.

Betroffenenrechte in der Praxis

Informationspflichten nach Art. 13 und 14 DSGVO

Werden Daten bei der betroffenen Person selbst erhoben — etwa im Mietvertrag oder bei der Eigentümeraufnahme — greift Art. 13 DSGVO: Die Information muss zum Zeitpunkt der Erhebung erfolgen. Werden Daten von Dritten erlangt, etwa Eigentümerdaten vom Vorverwalter oder aus dem Grundbuch, greift Art. 14 DSGVO mit einer Frist von grundsätzlich einem Monat.

Inhaltlich verlangt die Information Angaben zu Verantwortlichem und gegebenenfalls Datenschutzbeauftragtem, Zwecken und Rechtsgrundlagen, berechtigten Interessen, Empfängern, Drittlandtransfers, Speicherdauer sowie den Betroffenenrechten einschließlich Widerspruch und Beschwerde. Praktisch bewährt sich ein zweiseitiges Merkblatt, das dem Mietvertrag beiliegt, dem Eigentümer bei Erwerb übersandt und im Eigentümerportal hinterlegt wird.

Auskunftsrecht nach Art. 15 DSGVO

Das Auskunftsrecht umfasst die Bestätigung der Verarbeitung, die Auskunft über die Daten selbst sowie die in Art. 15 Abs. 1 genannten Metainformationen. Hinzu kommt nach Art. 15 Abs. 3 DSGVO der Anspruch auf eine Kopie der Daten.

Der Europäische Gerichtshof hat mit Urteil vom 04.05.2023 in der Rechtssache C-487/21 entschieden, dass das Recht auf Kopie eine originalgetreue und verständliche Reproduktion der personenbezogenen Daten umfasst. Eine bloß allgemeine Beschreibung oder ein Verweis auf Datenkategorien genügt nicht. Soweit es für das Verständnis erforderlich ist, kann sich der Anspruch auch auf Auszüge aus Dokumenten oder ganze Dokumente erstrecken.

Für die Verwaltung bedeutet das: Ein Auskunftsersuchen ist kein Formblattvorgang. Zu prüfen sind alle Systeme — Verwaltersoftware, Buchhaltung, E-Mail-Postfächer, Ticketsystem, Archiv. Die Frist beträgt einen Monat nach Art. 12 Abs. 3 DSGVO, verlängerbar um zwei Monate bei Komplexität, was innerhalb des ersten Monats mitzuteilen ist; die erste Kopie ist unentgeltlich. Daten Dritter — etwa Namen anderer Eigentümer in einem Protokoll — sind zu schwärzen, soweit sie nicht zugleich Daten der auskunftsersuchenden Person sind.

Löschung nach Art. 17 DSGVO gegen Aufbewahrungsfristen

Der Löschanspruch besteht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. b und lit. e DSGVO). Daran scheitert der Anspruch in der Verwaltung regelmäßig — richtigerweise. Maßgeblich sind insbesondere:

  • § 147 AO: zehn Jahre für Bücher, Aufzeichnungen, Buchungsbelege und Jahresabschlüsse; sechs Jahre für Handels- und Geschäftsbriefe, soweit steuerlich relevant. Die Frist beginnt mit dem Schluss des Kalenderjahres der letzten Eintragung beziehungsweise der Belegentstehung.
  • §§ 238, 257 HGB: parallele handelsrechtliche Aufbewahrung für kaufmännisch tätige Verwalter.
  • Zivilrechtliche Verjährung: drei Jahre nach §§ 195, 199 BGB ab Schluss des Jahres der Entstehung und Kenntnis; für Mängelansprüche am Bau bis zu fünf Jahre.

Die Konsequenz ist ein Löschkonzept, das jede Datenkategorie mit einer konkreten Frist versieht — Mietvertragsunterlagen, Kautionsabrechnung, Nebenkostenbelege, Versammlungsprotokolle, Unterlagen abgelehnter Mietinteressenten, Videoaufnahmen. Ohne dokumentiertes Konzept ist weder Löschung noch Aufbewahrung begründbar.

Auftragsverarbeitung nach Art. 28 DSGVO

Jeder externe Dienstleister, der personenbezogene Daten weisungsgebunden für die Verwaltung verarbeitet, braucht einen Vertrag nach Art. 28 Abs. 3 DSGVO. In der Praxis betrifft das insbesondere:

  • Anbieter der Verwaltersoftware und des Hostings
  • externe Buchhaltungs- und Abrechnungsdienstleister
  • Messdienstleister für Heizkosten- und Wasserverbrauchserfassung
  • Anbieter von Eigentümerportalen, Ticketsystemen und Schließanlagen-Management
  • Aktenvernichter und Archivdienstleister
  • teilweise Hausmeisterservices, soweit sie Mieterdaten erhalten

Nicht jeder Dienstleister ist Auftragsverarbeiter. Steuerberater, Rechtsanwälte und Wirtschaftsprüfer handeln in eigener beruflicher Verantwortung und sind eigenständig Verantwortliche. Handwerker, die lediglich einen Auftrag ausführen und dabei Kontaktdaten erhalten, sind in der Regel ebenfalls keine Auftragsverarbeiter — hier liegt eine Übermittlung an einen Verantwortlichen vor.

Der Vertrag muss Gegenstand, Dauer, Art und Zweck, Daten- und Betroffenenkategorien sowie die Pflichten nach Art. 28 Abs. 3 lit. a bis h DSGVO regeln, einschließlich der Genehmigung von Unterauftragsverarbeitern.

Verarbeitungsverzeichnis, TOM und Datenpannen

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist das zentrale Nachweisdokument. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift in der Verwaltung praktisch nie, weil die Verarbeitung nicht nur gelegentlich erfolgt. Es führt je Verarbeitung Zweck, Betroffenen- und Datenkategorien, Empfänger, Drittlandtransfers, Löschfristen und Sicherheitsmaßnahmen auf — für die eigene Verantwortlichkeit und zusätzlich in der Auftragsverarbeiterrolle nach Art. 30 Abs. 2 DSGVO.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind risikoangemessen zu wählen: rollenbasierte Zugriffsrechte, Mehr-Faktor-Authentifizierung, verschlüsselte Datenübertragung und Festplattenverschlüsselung mobiler Geräte, getestete Backups, abschließbare Aktenschränke, Clean-Desk-Regel, Vertraulichkeitsverpflichtung der Mitarbeitenden, Prozess für den Austritt von Beschäftigten, regelmäßige Schulung.

Bei einer Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 DSGVO unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, an die Aufsichtsbehörde zu melden — es sei denn, ein Risiko für die Rechte und Freiheiten ist unwahrscheinlich. Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der Betroffenen nach Art. 34 DSGVO hinzu. Jeder Vorfall ist intern zu dokumentieren. Typische Fälle: verlorener unverschlüsselter Laptop, Fehlversand einer Abrechnung, offener E-Mail-Verteiler, Ransomware beim Softwaredienstleister.

Datenschutzbeauftragter

Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Kopfzahl besteht die Pflicht nach Art. 37 Abs. 1 DSGVO bei umfangreicher regelmäßiger und systematischer Überwachung oder umfangreicher Verarbeitung besonderer Kategorien von Daten sowie nach § 38 Abs. 1 Satz 2 BDSG, wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Gezählt werden alle Personen, die tatsächlich mit Datenverarbeitung befasst sind, einschließlich Teilzeitkräften und Aushilfen.

Praxisfälle

Praxisbeispiel 1: Die Eigentümerliste

Ein Eigentümer verlangt vom Verwalter eine Liste aller Miteigentümer mit Namen und Anschriften, weil er einen Beschluss anfechten und die übrigen Eigentümer verklagen muss. Der Verwalter lehnt unter Verweis auf den Datenschutz ab.

Die Ablehnung ist falsch. Nach der Rechtsprechung des Bundesgerichtshofs hat jeder Wohnungseigentümer gegen den Verwalter einen Anspruch auf Übermittlung einer aktuellen Eigentümerliste mit Namen und ladungsfähigen Anschriften (BGH, Urteil vom 14.12.2012 – V ZR 162/11). Datenschutzrechtlich ist die Herausgabe über Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO gedeckt: Der Eigentümer kann seine Rechte im Gemeinschaftsverhältnis ohne die Liste nicht wahrnehmen.

Die Zweckbindung bleibt. Der Verwalter sollte die Herausgabe schriftlich mit einem Hinweis verbinden, dass die Daten ausschließlich für Zwecke des Gemeinschaftsverhältnisses verwendet werden dürfen — nicht für Werbung, nicht für private Weitergabe, nicht für Veröffentlichung. Wer eine Eigentümerliste ins Internet stellt oder an Dritte weiterreicht, verarbeitet unbefugt und haftet selbst.

Praxisbeispiel 2: Der Aushang im Treppenhaus

Ein Verwalter hängt im Hauseingang eine Liste mit Namen und offenen Hausgeldbeträgen aus, um den Druck auf säumige Eigentümer zu erhöhen. Das ist datenschutzrechtlich unzulässig.

Ein Aushang ist gegenüber einem unbestimmten Personenkreis öffentlich — er erreicht Besucher, Paketboten, Handwerker. Zahlungsrückstände sind besonders sensibel, weil sie Rückschlüsse auf die wirtschaftliche Lage erlauben. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO scheitert an der Erforderlichkeit: Mahnung, Verzugszinsen, Klage und die Information in der Versammlung sind mildere und wirksamere Mittel. Gleiches gilt für Aushänge zu Kündigungen, Abmahnungen oder Hausordnungsverstößen. Zulässig bleibt der neutrale Aushang ohne Personenbezug sowie Klingel- und Briefkastenschilder mit Namen.

Teilnehmerlisten, Protokolle und Vollmachten

In der Eigentümerversammlung werden Anwesenheitsliste, Vollmachten und Protokoll erstellt. Alle drei enthalten personenbezogene Daten und sind über Art. 6 Abs. 1 lit. b und lit. c DSGVO gedeckt, soweit sie der ordnungsgemäßen Durchführung und Dokumentation dienen.

Das Protokoll sollte auf das Erforderliche beschränkt bleiben: Beschlussgegenstand, Abstimmungsergebnis und die für die Anfechtungsfrist relevanten Angaben. Wörtliche Wiedergaben von Diskussionsbeiträgen mit Namensnennung, Bewertungen einzelner Personen oder Angaben zu Gesundheit, Familienverhältnissen oder Zahlungsverhalten gehören nicht hinein. Die Versendung erfolgt an die Eigentümer, nicht an Mieter oder sonstige Dritte.

Mieterselbstauskunft

Zulässig sind Fragen, die für die Vertragsentscheidung erforderlich sind: Name, Anschrift, Geburtsdatum, Zahl der einziehenden Personen, Beruf und Arbeitgeber, Nettoeinkommen in Stufen, Mietschulden gegenüber Vorvermietern, Eröffnung eines Insolvenzverfahrens, Bonitätsauskunft.

Unzulässig sind in der Regel Fragen nach Familienplanung und Schwangerschaft, Religionszugehörigkeit, ethnischer Herkunft, Parteizugehörigkeit, Mitgliedschaft in Mietervereinen oder Gewerkschaften, Vorstrafen ohne Bezug zum Mietverhältnis, Krankheiten und Hobbys. Fragen nach Musikinstrumenten oder Haustieren sind zulässig, soweit sie die Nutzung der Mietsache betreffen. Unterlagen abgelehnter Interessenten sind zeitnah zu löschen.

Videoüberwachung

Videoüberwachung im Gemeinschaftseigentum ist an Art. 6 Abs. 1 lit. f DSGVO und § 4 BDSG zu messen. Erforderlich ist ein konkreter Anlass — dokumentierte Vandalismus- oder Einbruchsfälle — nicht ein allgemeines Sicherheitsgefühl. Der Umfang muss begrenzt bleiben: nur Zugänge, Tiefgarage oder Müllplatz, keine Erfassung öffentlicher Wege oder benachbarter Grundstücke, keine Überwachung einzelner Wohnungstüren. Hinweisschilder nach Art. 13 DSGVO gehören vor den Erfassungsbereich, die Speicherdauer bleibt kurz — in der Regel wenige Tage — und der Zugriff eng begrenzt.

E-Mail-Verteiler und WhatsApp-Gruppen

Der häufigste Datenschutzverstoß in Verwaltungen ist der Rundmail-Fehlversand: Sammelmails an alle Eigentümer oder Mieter im offenen Adressfeld. Jede Empfängeradresse wird damit an alle übrigen offengelegt — eine unbefugte Übermittlung, die je nach Kreis meldepflichtig sein kann. Lösung: konsequent BCC oder Einzelversand über die Verwaltersoftware.

WhatsApp-Gruppen für Objekte sind heikel: Die Teilnahme setzt die Offenlegung der Mobilfunknummer gegenüber allen Mitgliedern voraus, der Dienst greift auf Adressbücher zu, der Betreiber sitzt außerhalb der EU. Wenn überhaupt, dann rein freiwillig und niemals als offizieller Kommunikationskanal. Verbindliche Mitteilungen gehören in das Eigentümerportal oder in die Einzelkommunikation.

Cloud, Eigentümerportal und Drittlandtransfer

Ein Eigentümerportal ist datenschutzrechtlich gut begründbar: Es ersetzt den unverschlüsselten E-Mail-Versand, ermöglicht rollenbasierte Zugriffe und protokolliert Abrufe. Voraussetzungen sind ein Auftragsverarbeitungsvertrag, transportverschlüsselter Zugriff, starke Authentifizierung und ein sauberes Berechtigungskonzept: Ein Eigentümer sieht seine eigenen Daten und die Gemeinschaftsunterlagen, nicht die Einzelabrechnungen anderer.

Liegt der Anbieter oder ein Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums, greifen Art. 44 ff. DSGVO. Zulässig ist der Transfer auf Grundlage eines Angemessenheitsbeschlusses — für die USA über die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework — oder auf Grundlage der Standardvertragsklauseln mit ergänzender Risikobewertung. Zu dokumentieren sind Serverstandorte, die Kette der Unterauftragnehmer und zusätzliche Maßnahmen wie Verschlüsselung.

KI-Einsatz und die EU-KI-Verordnung

KI-gestützte Werkzeuge halten in Verwaltungen Einzug: automatische Klassifizierung eingehender E-Mails, Entwurfserstellung für Schriftwechsel, Auslesen von Rechnungen, Chatbots für Mieteranfragen, Sprachanalyse in der Telefonie.

Datenschutzrechtlich gilt nichts Besonderes: Zweck, Rechtsgrundlage, Erforderlichkeit, Auftragsverarbeitungsvertrag, Ausschluss der Nutzung der Eingaben zum Modelltraining, Klarheit über Serverstandort und Drittlandtransfer. Hinzu kommt Art. 22 DSGVO: Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung — etwa die automatische Ablehnung von Mietinteressenten oder ein automatisierter Kündigungslauf — ist grundsätzlich unzulässig. Es braucht eine inhaltliche menschliche Prüfung, nicht bloß einen Freigabeklick.

Die EU-KI-Verordnung (KI-VO, AI Act) ergänzt diesen Rahmen. Nach den bis Redaktionsschluss verfügbaren Quellen gelten die Verbote unzulässiger KI-Praktiken seit dem 02.02.2025 und die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 02.08.2025. Seit dem 02.08.2026 ist die Verordnung allgemein anwendbar, einschließlich der Transparenzpflichten nach Art. 50 KI-VO. Für Verwaltungen ist das die praktisch relevante Regelung: Wer einen Chatbot einsetzt, muss die interagierende Person darüber informieren; KI-generierte Inhalte sind zu kennzeichnen.

Das Hochrisiko-Regime — Konformitätsbewertung, Registrierung, Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht — wurde nach den verfügbaren Quellen im Zuge des Digital-Omnibus-Pakets verschoben, für Systeme nach Anhang III auf den 02.12.2027 und für produktintegrierte Systeme nach Anhang I auf den 02.08.2028. Da die Rechtslage in Teilen im Fluss ist, sollte der Stand vor Umsetzungsentscheidungen geprüft werden. Relevant wird das Thema für Verwaltungen dort, wo KI über den Zugang zu Wohnraum oder über Bonität mitentscheidet — der sichere Weg ist, solche Systeme nicht entscheidend einzusetzen.

Bußgeldrahmen

Art. 83 DSGVO sieht zwei Stufen vor: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bei Verstößen unter anderem gegen Art. 25, 28, 30, 32, 33 und 34 DSGVO; bis zu 20 Mio. Euro oder 4 % bei Verstößen gegen Grundsätze, Rechtsgrundlagen und Betroffenenrechte. Praktisch relevanter als das Bußgeld ist für viele Verwaltungen der zivilrechtliche Schadensersatz nach Art. 82 DSGVO.

Rechtslage & Referenzurteile

BGH, Urteil vom 14.12.2012 – V ZR 162/11: Jeder Wohnungseigentümer hat gegen den Verwalter einen Anspruch auf Übermittlung einer aktuellen Eigentümerliste. Legt der Verwalter im Beschlussanfechtungsverfahren keine aktuelle Liste vor, hat das Gericht ihn unter Fristsetzung zur Vorlage aufzufordern und kann die Vorlage mit Zwangsmitteln durchsetzen.

EuGH, Urteil vom 04.05.2023 – C-487/21 (Österreichische Datenschutzbehörde und CRIF): Das Recht auf Kopie nach Art. 15 Abs. 3 DSGVO umfasst eine originalgetreue und verständliche Reproduktion aller verarbeiteten personenbezogenen Daten. Eine allgemeine Beschreibung oder ein Verweis auf Datenkategorien genügt nicht.

EuGH, Urteil vom 04.05.2023 – C-300/21 (Österreichische Post): Ein Verstoß gegen die DSGVO allein begründet keinen Schadensersatzanspruch nach Art. 82 DSGVO. Erforderlich sind Verstoß, konkreter materieller oder immaterieller Schaden und Kausalzusammenhang. Eine Erheblichkeitsschwelle für den Schaden besteht jedoch nicht.

Weitere Aktenzeichen nennen wir nicht, um keine unverifizierten Fundstellen zu verbreiten.

Checkliste

  • [ ] Rollenverteilung zwischen GdWE und Verwalter im Verwaltervertrag schriftlich geregelt
  • [ ] Verarbeitungsverzeichnis nach Art. 30 DSGVO geführt — als Verantwortlicher und als Auftragsverarbeiter
  • [ ] Informationsblätter nach Art. 13 und 14 DSGVO für Mieter und Eigentümer ausgehändigt
  • [ ] Prozess für Auskunftsersuchen mit Systemliste, Schwärzungsregeln und Fristenkontrolle definiert
  • [ ] Löschkonzept je Datenkategorie, abgestimmt mit § 147 AO, §§ 238, 257 HGB und der Verjährung
  • [ ] Auftragsverarbeitungsverträge mit Software, Hosting, Messdienst, Abrechnung, Portal, Aktenvernichtung aktuell
  • [ ] Unterauftragnehmer und Serverstandorte dokumentiert, Drittlandtransfers abgesichert
  • [ ] TOM nach Art. 32 DSGVO dokumentiert: Zugriffsrechte, Mehr-Faktor-Authentifizierung, Verschlüsselung, Backup
  • [ ] Meldeprozess für Datenpannen mit 72-Stunden-Fristenlauf und internem Vorfallregister
  • [ ] Prüfung der 20-Personen-Schwelle nach § 38 BDSG dokumentiert
  • [ ] Rundmails ausschließlich per BCC oder Einzelversand; keine personenbezogenen Aushänge im Treppenhaus
  • [ ] Videoüberwachung mit dokumentierter Interessenabwägung, Hinweisschildern, kurzer Speicherdauer
  • [ ] Beschäftigte auf Vertraulichkeit verpflichtet und mindestens jährlich geschult
  • [ ] KI-Werkzeuge inventarisiert, Transparenzhinweis nach Art. 50 KI-VO umgesetzt

Häufige Fragen (FAQ)

Wer ist bei der DSGVO in der Hausverwaltung Verantwortlicher — die Gemeinschaft oder der Verwalter?

Regelmäßig beide, je nach Zweck. Die Gemeinschaft ist Verantwortliche für ihre eigenen Aufgaben, der Verwalter insoweit typischerweise Auftragsverarbeiter — zugleich aber Verantwortlicher für eigene Zwecke wie Buchhaltung und Aufbewahrungspflichten. Die Zuordnung gehört in den Verwaltervertrag.

Darf der Verwalter die Eigentümerliste an einzelne Eigentümer herausgeben?

Ja. Jeder Wohnungseigentümer hat einen Anspruch auf eine aktuelle Liste mit Namen und ladungsfähigen Anschriften. Die Herausgabe ist zulässig, sollte aber mit einem Hinweis auf die Zweckbindung verbunden werden. Veröffentlichung oder Weitergabe an Dritte ist unzulässig.

Wie lange müssen Unterlagen aufbewahrt werden?

Buchungsbelege und Jahresabschlüsse zehn Jahre nach § 147 AO, Geschäftsbriefe sechs Jahre. Daneben gilt die zivilrechtliche Verjährung, regelmäßig drei Jahre nach §§ 195, 199 BGB. Bis zum Fristablauf steht Art. 17 Abs. 3 DSGVO dem Löschanspruch entgegen.

Was gilt bei einer Datenpanne?

Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, ist an die Aufsichtsbehörde zu melden, sofern ein Risiko nicht unwahrscheinlich ist. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen. Jeder Vorfall ist intern zu dokumentieren, auch der nicht gemeldete.

Braucht jede Hausverwaltung einen Datenschutzbeauftragten?

Nicht jede. Die Pflicht nach § 38 BDSG greift ab 20 ständig mit automatisierter Datenverarbeitung beschäftigten Personen; unabhängig davon kann sie sich aus Art. 37 DSGVO oder der Erforderlichkeit einer Datenschutz-Folgenabschätzung ergeben. Die Prüfung ist zu dokumentieren.

Dürfen KI-Assistenten im Mieterkontakt eingesetzt werden?

Ja, unter Bedingungen: Rechtsgrundlage, Auftragsverarbeitungsvertrag, Ausschluss der Nutzung der Eingaben zum Modelltraining, Klarheit über den Serverstandort. Seit dem 02.08.2026 verlangt Art. 50 KI-VO zudem einen Hinweis auf den KI-Einsatz. Automatisierte Einzelentscheidungen über Mietverhältnisse sind nach Art. 22 DSGVO grundsätzlich unzulässig.

Quellen & Rechtshinweis

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.

Über EXTRA Immobilien – Ihre Technologieverwaltung

DSGVO Hausverwaltung ist kein Papierthema, sondern eine Frage der Prozesse: Wer Zugriffsrechte, Fristen, Verträge und Kommunikationswege im System abgebildet hat, erfüllt die Pflichten im laufenden Betrieb, statt sie im Ernstfall nachzuholen. Die EXTRA Immobilien Gruppe arbeitet als Technologieverwaltung genau so — mit digitalen Prozessen im Bereich Digitalisierung, klaren Verantwortlichkeiten und einem persönlichen Ansprechpartner, der erreichbar ist.

Warum EXTRA Immobilien die richtige Wahl ist

  • Digitale Objekt- und Eigentümerakte mit rollenbasierten Zugriffsrechten statt offener E-Mail-Anhänge
  • Eigentümerportal als sicherer Kommunikationsweg — kein Rundmail-Risiko, keine WhatsApp-Gruppen
  • Dokumentierte Prozesse für Auskunftsersuchen, Löschfristen und Auftragsverarbeitungsverträge
  • Strukturiertes Fristenmanagement für Abrechnungen, Aufbewahrung und Betroffenenanfragen
  • Transparente Dienstleisterkette: Wer welche Daten verarbeitet, ist dokumentiert und nachvollziehbar
  • Persönliche Betreuung statt anonymem Ticketsystem

Ihr persönlicher Ansprechpartner: Daniel Mathiesen, EXTRA Immobilien Gruppe

Sie möchten wissen, wo Ihre Verwaltung datenschutzrechtlich steht und welche Prozesse sich mit vertretbarem Aufwand digitalisieren lassen? Daniel Mathiesen und das Team der EXTRA Immobilien Gruppe schauen sich Ihre Abläufe an und benennen die Lücken konkret.

👉 Jetzt Angebot abholen: https://www.extraimmobilien.com/Forms/Angebot-formular.html

Read more