KI in der Hausverwaltung: Pflichten aus der EU-KI-Verordnung verstehen

Auf einen Blick: Der Einsatz von KI in der Hausverwaltung ist längst Alltag – von der automatischen Sortierung von Schadensmeldungen bis zum Protokollentwurf. Rechtlich maßgeblich ist die Verordnung (EU) 2024/1689 (KI-Verordnung, „EU AI Act"). Sie folgt einem risikobasierten Ansatz: verbotene Praktiken (Art. 5), Hochrisiko-Systeme (Art. 6), besondere Transparenzpflichten (Art. 50) und Anwendungen mit minimalem Risiko. Für Verwaltungen ist in der Regel nicht die Hochrisiko-Einstufung relevant, sondern Art. 4 KI-VO: Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihr Personal und die in ihrem Auftrag mit Betrieb und Nutzung befassten Personen über ein ausreichendes Maß an KI-Kompetenz verfügen. Diese Pflicht gilt seit dem 2. Februar 2025 (Art. 113 KI-VO). Nachweisbar sind die getroffenen Maßnahmen – nicht ein bestimmtes Kompetenzniveau je Mitarbeiterin. Hinzu kommen DSGVO-Anforderungen und die Grenzen des Rechtsdienstleistungsgesetzes.

Gliederung

1. Warum KI in der Hausverwaltung zum Compliance-Thema geworden ist
2. Der risikobasierte Ansatz der KI-Verordnung im Überblick
3. Art. 4 KI-VO: die KI-Kompetenzpflicht als zentrale Anforderung
4. Zeitlicher Anwendungsrahmen nach Art. 113 KI-VO
5. Typische Anwendungsfälle in der Verwaltung und ihre Risikobewertung
6. Grenzen und Haftungsrisiken: Rechtsberatung, RDG und menschliche Letztentscheidung
7. Datenschutz nach DSGVO beim KI-Einsatz
8. Betriebsrat, Mitbestimmung und interne Akzeptanz
9. Transparenz gegenüber Eigentümern und Mietern
10. Aufbau einer KI-Richtlinie im Verwaltungsbüro
11. Schulungskonzept mit Nachweisführung und Anbieterauswahl
12. Rechtslage, Checkliste, FAQ und Quellen

Warum KI in der Hausverwaltung zum Compliance-Thema geworden ist

KI in der Hausverwaltung hat sich in kurzer Zeit von einem Zukunftsthema zu gelebter Praxis entwickelt. In vielen Büros läuft heute mindestens ein Werkzeug, das auf maschinellem Lernen basiert: die Belegerkennung in der Buchhaltungssoftware, die Vorsortierung eingehender E-Mails, ein Assistenzsystem für Textentwürfe oder eine Auswertung von Verbrauchsdaten. Häufig geschieht das, ohne dass die Beteiligten das Werkzeug bewusst als „KI-System" einordnen – es ist einfach eine Funktion in einer Software, die man ohnehin nutzt.

Genau diese Unauffälligkeit ist der Grund, warum das Thema inzwischen eine Compliance-Dimension hat. Die Verordnung (EU) 2024/1689 – im Sprachgebrauch meist „EU AI Act", offiziell KI-Verordnung – knüpft Pflichten nicht an eine bewusste Entscheidung für KI, sondern an die tatsächliche Nutzung. Wer ein KI-System betreibt, ist Betreiber im Sinne der Verordnung, unabhängig davon, ob er das Wort „KI" jemals in den Mund genommen hat.

Für Hausverwaltungen ist die Einordnung meist unspektakulär: Die typischen Anwendungen fallen weder unter die verbotenen Praktiken noch unter die Hochrisiko-Kategorie. Das bedeutet aber nicht, dass keine Pflichten bestehen. Die praktisch wichtigste Anforderung – die KI-Kompetenzpflicht nach Art. 4 KI-VO – gilt unabhängig von der Risikoklasse für alle Anbieter und Betreiber. Sie ist seit Februar 2025 anwendbar und wird in vielen Büros bislang nicht systematisch umgesetzt.

Hinzu kommt: KI-Einsatz in der Verwaltung berührt fast immer personenbezogene Daten. Mieterdaten, Eigentümerdaten, Beschäftigtendaten, Angaben zu Schäden, Zahlungsverhalten oder Vertragsverhältnissen – all das fällt in den Anwendungsbereich der DSGVO. Die KI-Verordnung tritt neben die DSGVO, sie ersetzt sie nicht. Wer nur eines von beiden Regelwerken im Blick hat, hat die Hälfte des Themas übersehen.

Der vorliegende Beitrag ordnet die Anforderungen für die Praxis ein: Was verlangt die KI-Verordnung konkret, welche Anwendungsfälle sind unbedenklich, wo liegen Grenzen – und wie sieht eine belastbare, dokumentierte Umsetzung im Verwaltungsbüro aus?

Der risikobasierte Ansatz der KI-Verordnung im Überblick

Die KI-Verordnung reguliert nicht die Technologie als solche, sondern die Verwendung. Je größer das Risiko für Grundrechte, Sicherheit und Gesundheit, desto strenger die Anforderungen. Daraus ergeben sich im Kern vier Stufen.

Verbotene Praktiken (Art. 5 KI-VO)

Bestimmte Anwendungen sind untersagt. Dazu zählen unter anderem Systeme, die menschliches Verhalten durch manipulative oder täuschende Techniken so beeinflussen, dass erheblicher Schaden entsteht, Systeme, die Schwächen aufgrund von Alter, Behinderung oder sozialer Lage ausnutzen, sowie Formen des Social Scoring, bei denen Personen anhand ihres Sozialverhaltens bewertet und benachteiligt werden. Ebenfalls erfasst sind bestimmte Formen der biometrischen Kategorisierung und der Emotionserkennung am Arbeitsplatz.

Für die Immobilienverwaltung sind diese Verbote in der Regel nicht praxisrelevant – mit einer wichtigen Ausnahme: Wer daran denkt, Mieterinnen und Mieter anhand allgemeiner Verhaltens- oder Sozialdaten automatisiert zu bewerten, bewegt sich gefährlich nahe an Art. 5 KI-VO und zusätzlich im Konflikt mit der DSGVO.

Hochrisiko-Systeme (Art. 6 KI-VO)

Als hochriskant gelten Systeme, die in einem der in Anhang III genannten Bereiche eingesetzt werden – etwa in der Beschäftigung (Bewerberauswahl, Beförderungsentscheidungen), bei der Bonitätsbewertung natürlicher Personen oder beim Zugang zu wesentlichen privaten und öffentlichen Diensten. Für Hochrisiko-Systeme gelten umfangreiche Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit.

Für Hausverwaltungen ist dies der Bereich, bei dem im Einzelfall genau hingeschaut werden muss. Zwei Konstellationen kommen in Betracht: erstens der Einsatz KI-gestützter Systeme zur Bewerberauswahl bei eigenen Stellenbesetzungen, zweitens – deutlich heikler – eine automatisierte Bewertung von Mietinteressenten. Wer solche Werkzeuge einsetzt oder einsetzen will, sollte die Einstufung vor der Einführung fachkundig klären lassen.

Transparenzpflichten (Art. 50 KI-VO)

Unabhängig von der Risikoklasse bestehen für bestimmte Systeme besondere Transparenzpflichten. Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen so gestaltet sein, dass die betroffene Person erkennt, dass sie mit einem KI-System interagiert – sofern das nicht ohnehin offensichtlich ist. Künstlich erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte sind entsprechend zu kennzeichnen.

Praktisch relevant ist das vor allem bei Chatbots auf der Website oder im Mieterportal. Ein Assistenzsystem, das Mieteranfragen beantwortet, muss als solches erkennbar sein.

Minimales Risiko

Die große Mehrheit der in Verwaltungen eingesetzten Anwendungen fällt in diese Kategorie. Hier bestehen keine besonderen Pflichten aus der KI-Verordnung – mit Ausnahme der allgemeinen Kompetenzpflicht nach Art. 4 KI-VO, die für alle Anbieter und Betreiber gilt.

Art. 4 KI-VO: die KI-Kompetenzpflicht als zentrale Anforderung

Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung und Schulung der Betroffenen sowie der Kontext, in dem die Systeme eingesetzt werden sollen, zu berücksichtigen – ebenso die Personengruppen, bei denen die Systeme eingesetzt werden.

Der Begriff der KI-Kompetenz ist in Art. 3 KI-VO definiert. Gemeint sind die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken und möglicher Schäden bewusst zu werden.

Was die Pflicht konkret bedeutet – und was nicht

Drei Punkte sind für die Praxis entscheidend.

Erstens: Die Pflicht richtet sich an das Unternehmen, nicht an einzelne Beschäftigte. Verantwortlich ist die Geschäftsführung beziehungsweise die Inhaberin des Verwaltungsbüros.

Zweitens: Geschuldet sind Maßnahmen, kein Ergebnis. Die Verordnung verlangt nicht, dass jede Mitarbeiterin ein bestimmtes Kompetenzniveau nachweist oder eine Prüfung besteht. Sie verlangt, dass das Unternehmen nach besten Kräften geeignete Maßnahmen ergreift. Nachweisbar sein müssen daher die Maßnahmen – nicht das individuelle Kompetenzniveau. Das ist eine erhebliche praktische Erleichterung, verlagert die Anforderung aber auf die Dokumentation.

Drittens: Die Pflicht erfasst nicht nur eigene Beschäftigte, sondern auch Personen, die im Auftrag mit Betrieb und Nutzung befasst sind – etwa freie Mitarbeiter, ausgelagerte Buchhaltungskräfte oder externe Dienstleister, die mit den Systemen der Verwaltung arbeiten.

Der angemessene Umfang der Maßnahmen ist kontextabhängig. Ein Büro, in dem KI ausschließlich zur Textformulierung eingesetzt wird, benötigt weniger als eines, in dem KI-gestützte Auswertungen Entscheidungsgrundlagen für Eigentümerversammlungen liefern. Die Verordnung fordert Angemessenheit, keine maximale Anstrengung.

Zeitlicher Anwendungsrahmen nach Art. 113 KI-VO

Art. 113 KI-VO regelt die gestaffelte Anwendbarkeit der Verordnung. Die Regelungen treten nicht gleichzeitig in Kraft, sondern in Stufen. Für die Praxis der Hausverwaltung ist vor allem eines wichtig: Die Bestimmungen des Kapitels I – und damit auch Art. 4 KI-VO zur KI-Kompetenz – sowie die Verbote des Art. 5 KI-VO gelten seit dem 2. Februar 2025.

Das bedeutet: Die Kompetenzpflicht ist keine Anforderung, auf die man sich noch vorbereiten kann. Sie gilt bereits. Wer bisher keine Maßnahmen ergriffen und dokumentiert hat, sollte das zeitnah nachholen. Die weiteren Stufen – insbesondere die Anforderungen an Hochrisiko-Systeme – greifen zeitlich später; für Verwaltungen ohne Hochrisiko-Anwendungen sind sie nachrangig.

Typische Anwendungsfälle in der Verwaltung und ihre Risikobewertung

Die folgende Übersicht ordnet gängige Anwendungen ein. Sie ersetzt keine Einzelfallprüfung, gibt aber eine Orientierung.

Praxisbeispiel: KI-gestützte Triage von Schadensmeldungen

Eine Verwaltung erhält täglich zwischen 60 und 120 E-Mails, ein erheblicher Teil davon Schadens- und Störungsmeldungen. Bisher sichtete eine Mitarbeiterin den Posteingang manuell und verteilte die Vorgänge.

Der neue Workflow sieht so aus: Eingehende E-Mails werden von einem KI-gestützten Assistenzsystem ausgelesen und einer von acht Kategorien zugeordnet – etwa „Heizung/Warmwasser", „Wasserschaden", „Elektrik", „Aufzug", „Allgemeine Anfrage". Zusätzlich schlägt das System eine Dringlichkeitsstufe vor und extrahiert Objekt, Einheit und Kontaktdaten in ein strukturiertes Vorgangsformular. Das Ergebnis landet als Vorschlag im Ticketsystem – nicht als abgeschlossener Vorgang.

Entscheidend sind die eingebauten Kontrollen. Erstens: Jeder Vorgang wird von einer Mitarbeiterin bestätigt oder korrigiert, bevor er in die Bearbeitung geht; das System darf keine Handwerkerbeauftragung auslösen. Zweitens: Vorgänge, die das System der höchsten Dringlichkeitsstufe zuordnet oder bei denen die Zuordnungssicherheit unter einem definierten Schwellenwert liegt, werden gesondert markiert und vorrangig geprüft. Drittens: Korrekturen werden protokolliert, sodass sich die Trefferquote über die Zeit auswerten lässt.

Datenschutzrechtlich wurde vorab geklärt: Der Anbieter verarbeitet die Daten als Auftragsverarbeiter, ein Vertrag nach Art. 28 DSGVO liegt vor, die Verarbeitung findet innerhalb der EU statt, eine Nutzung der Inhalte zum Training allgemeiner Modelle ist vertraglich ausgeschlossen. Das Verarbeitungsverzeichnis wurde ergänzt, Löschfristen wurden festgelegt.

Der Effekt: Die Sichtungszeit sinkt deutlich, die Zuordnung wird gleichmäßiger, und dringende Meldungen werden schneller erkannt. Die fachliche Entscheidung bleibt beim Menschen.

Grenzen und Haftungsrisiken: Rechtsberatung, RDG und menschliche Letztentscheidung

KI-Systeme formulieren überzeugend – auch dann, wenn der Inhalt falsch ist. Für die Hausverwaltung liegt darin das größte praktische Risiko, und es ist ein Haftungsrisiko, kein technisches.

Keine automatisierte Rechtsberatung

Verwaltungen erhalten laufend Fragen mit rechtlichem Einschlag: Wie hoch darf die Mieterhöhung ausfallen? Ist ein Beschluss wirksam? Muss ein Eigentümer eine bauliche Veränderung dulden? Ein Assistenzsystem beantwortet solche Fragen bereitwillig – oft plausibel klingend, gelegentlich falsch, mitunter unter Bezugnahme auf nicht existierende Entscheidungen.

Hier gilt eine klare Grenze. Die Erbringung von Rechtsdienstleistungen ist nach dem Rechtsdienstleistungsgesetz (RDG) erlaubnispflichtig. Hausverwaltungen dürfen Rechtsdienstleistungen nur erbringen, soweit sie als Nebenleistung zu ihrem Berufs- oder Tätigkeitsbild gehören (§ 5 RDG). Eine individuelle rechtliche Prüfung, die über diesen Rahmen hinausgeht, ist unzulässig – und sie wird nicht dadurch zulässig, dass eine Maschine sie formuliert.

Praktische Konsequenz: KI-Ausgaben mit rechtlichem Inhalt dürfen nie ungeprüft an Mieter oder Eigentümer weitergegeben werden. Sie können intern der Vorbereitung dienen; die Aussage nach außen muss fachlich verantwortet werden.

Menschliche Letztentscheidung als Grundprinzip

Unabhängig von der Risikoklasse sollte in jedem Verwaltungsbüro gelten: Kein KI-System trifft eine Entscheidung mit Außenwirkung selbstständig. Kein automatischer Versand von Mahnungen, keine automatische Kündigung, keine automatische Beauftragung, keine automatische Freigabe von Zahlungen. Die KI liefert Vorschläge und Entwürfe; die Entscheidung trifft ein Mensch, der sie verantwortet.

Das ist nicht nur regulatorisch geboten, sondern auch haftungsrechtlich sinnvoll. Wer sich auf eine fehlerhafte KI-Ausgabe verlässt, kann sich gegenüber Auftraggebern nicht darauf berufen, das System habe sich geirrt. Die Verantwortung für die Verwaltertätigkeit bleibt beim Verwalter.

Qualitätssicherung und Vier-Augen-Prinzip

Bewährt hat sich ein abgestuftes Kontrollmodell: Routineausgaben ohne rechtlichen oder finanziellen Gehalt – etwa Terminbestätigungen – werden von der bearbeitenden Person geprüft. Ausgaben mit finanzieller Wirkung – etwa Kontierungsvorschläge oder Abrechnungsbestandteile – durchlaufen ein Vier-Augen-Prinzip. Ausgaben mit rechtlichem Gehalt werden fachlich geprüft und im Zweifel extern abgesichert.

Datenschutz nach DSGVO beim KI-Einsatz

Die KI-Verordnung lässt die DSGVO unberührt. Sobald personenbezogene Daten in ein KI-System gelangen, gelten die datenschutzrechtlichen Anforderungen vollumfänglich.

Rechtsgrundlage und Zweckbindung

Für jede Verarbeitung braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. In der Verwaltung kommt regelmäßig die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) in Betracht. Bei berechtigtem Interesse ist eine Abwägung erforderlich und zu dokumentieren. Die Verarbeitung darf nicht über den ursprünglichen Zweck hinausgehen: Wer Verbrauchsdaten zur Abrechnung erhebt, darf sie nicht ohne Weiteres für eine Verhaltensanalyse nutzen.

Auftragsverarbeitung nach Art. 28 DSGVO

Nahezu jeder externe KI-Dienst ist Auftragsverarbeiter. Ein Vertrag nach Art. 28 DSGVO ist zwingend. Zu prüfen sind insbesondere: Verarbeitungsort, Regelungen zu Drittlandtransfers, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Löschfristen und – besonders wichtig – die Frage, ob der Anbieter eingegebene Inhalte zum Training eigener Modelle verwendet. Diese Nutzung sollte vertraglich ausgeschlossen sein.

Datenminimierung und Schattennutzung

Der häufigste Fehler in der Praxis ist nicht der falsche Vertrag, sondern die unbedachte Eingabe: Eine Mitarbeiterin kopiert einen kompletten Schriftwechsel mit Namen, Adressen und Kontodaten in ein frei zugängliches Onlinewerkzeug, um eine Zusammenfassung zu erhalten. Damit verlassen personenbezogene Daten ohne Rechtsgrundlage und ohne Vertrag das Unternehmen.

Die Gegenmaßnahmen sind organisatorisch: eine verbindliche Liste freigegebener Werkzeuge, ein ausdrückliches Verbot der Nutzung nicht freigegebener Dienste für dienstliche Inhalte, und – am wirksamsten – die Bereitstellung eines geprüften Werkzeugs, das gut genug ist, damit niemand ausweicht. Ein Verbot ohne Alternative erzeugt Schattennutzung.

Ergänzend: Wo möglich, sollten Daten vor der Eingabe pseudonymisiert werden. Für eine Textformulierung braucht das System selten den vollständigen Namen.

Verarbeitungsverzeichnis, Löschkonzept und Folgenabschätzung

Jede KI-gestützte Verarbeitung gehört in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es ist festzulegen, wie lange Eingaben und Ausgaben gespeichert werden und wann sie gelöscht werden. Bei Verarbeitungen mit voraussichtlich hohem Risiko – etwa umfangreichen Auswertungen von Mieterdaten – ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen.

Mitbestimmung, interne Akzeptanz und Transparenz nach außen

Betriebsrat und Mitbestimmung

Wo ein Betriebsrat besteht, sind Mitbestimmungsrechte zu beachten. Nach § 87 Abs. 1 Nr. 6 BetrVG unterliegt die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, der Mitbestimmung. Nach der weiten Auslegung dieser Vorschrift genügt die objektive Eignung zur Überwachung; eine Überwachungsabsicht ist nicht erforderlich. Viele KI-gestützte Systeme erfüllen dieses Kriterium bereits durch ihre Protokollierung.

Praktisch empfiehlt sich eine Betriebsvereinbarung, die Zweck, eingesetzte Systeme, Datenkategorien, Auswertungsverbote und Beteiligungsrechte regelt. Auch in Büros ohne Betriebsrat ist eine transparente Kommunikation ratsam: Die häufigste Ursache für gescheiterte KI-Einführungen ist nicht die Technik, sondern die Sorge der Beschäftigten, ersetzt oder überwacht zu werden. Wer früh erklärt, was das System tut, was es nicht tut und dass Auswertungen zur Leistungskontrolle ausgeschlossen sind, gewinnt Mitwirkung statt Widerstand.

Transparenz gegenüber Eigentümern und Mietern

Über die Kennzeichnungspflicht des Art. 50 KI-VO hinaus ist Transparenz eine Frage des Vertrauens. Eigentümergemeinschaften reagieren erfahrungsgemäß positiv auf den Einsatz digitaler Werkzeuge, wenn die Rollenverteilung klar ist – und kritisch, wenn sie den Eindruck gewinnen, ihre Anliegen würden „von einem Automaten" bearbeitet.

Bewährt hat sich eine knappe, aktive Kommunikation: ein Abschnitt im Verwaltungsbericht oder ein kurzer Punkt in der Eigentümerversammlung, der benennt, welche Werkzeuge eingesetzt werden, wofür, und – besonders wichtig – dass jede Entscheidung und jede Außenkommunikation von einem Menschen verantwortet wird. Wo ein Chatbot im Mieterportal eingesetzt wird, ist die Kennzeichnung ohnehin verpflichtend; sie sollte mit einem klaren Hinweis auf den Weg zur menschlichen Ansprechperson verbunden werden.

Bei Protokollentwürfen gilt zusätzlich: Wird eine Versammlung zum Zweck der Protokollerstellung aufgezeichnet, bedarf dies der Einwilligung der Teilnehmenden. Eine Aufzeichnung ohne Einwilligung ist unzulässig, unabhängig davon, ob sie anschließend maschinell oder manuell ausgewertet wird.

Aufbau einer KI-Richtlinie im Verwaltungsbüro

Eine schriftliche KI-Richtlinie ist das zentrale Dokument, um die Anforderungen aus Art. 4 KI-VO und der DSGVO zusammenzuführen und nachweisbar zu machen. Sie muss nicht lang sein; sie muss klar und gelebt sein. Bewährt hat sich folgende Struktur:

• Geltungsbereich: Wer ist erfasst – eigene Beschäftigte, freie Mitarbeiter, externe Dienstleister im Auftrag?
• Freigegebene Werkzeuge: abschließende Liste mit Zweck, Anbieter und Freigabedatum
• Verbotene Nutzungen: nicht freigegebene Dienste, Eingabe besonderer Kategorien personenbezogener Daten, automatisierte Entscheidungen mit Außenwirkung, rechtliche Auskünfte an Dritte ohne fachliche Prüfung
• Umgang mit personenbezogenen Daten: Pseudonymisierungsregeln, Datenminimierung, Löschfristen
• Prüf- und Freigabepflichten: wer prüft welche Ausgaben, wann greift das Vier-Augen-Prinzip
• Kennzeichnung und Transparenz: wo wird auf KI-Einsatz hingewiesen
• Meldeweg bei Auffälligkeiten: an wen werden fehlerhafte Ausgaben oder Datenschutzvorfälle gemeldet
• Verantwortlichkeiten: wer gibt neue Werkzeuge frei, wer aktualisiert die Richtlinie, in welchem Turnus

Die Richtlinie sollte datiert, versioniert und den Beschäftigten nachweislich zur Kenntnis gegeben werden. Eine Kenntnisnahmebestätigung – digital oder auf Papier – ist Teil der Nachweisführung nach Art. 4 KI-VO.

Schulungskonzept mit Nachweisführung und Anbieterauswahl

Was eine angemessene Schulung abdecken sollte

Ein Schulungskonzept muss keine Informatikausbildung ersetzen. Es sollte drei Ebenen abdecken: Grundverständnis (was ein KI-System tut, warum es plausible, aber falsche Ausgaben erzeugen kann), rechtlichen Rahmen (KI-Verordnung im Überblick, DSGVO-Grundsätze, RDG-Grenze) und konkrete Anwendung (die im Haus eingesetzten Werkzeuge, die Richtlinie, die Prüfpflichten).

Sinnvoll ist eine Differenzierung nach Rollen: Sachbearbeitung in der Buchhaltung braucht andere Schwerpunkte als die Objektbetreuung oder die Geschäftsführung.

Praxisbeispiel: eine dokumentierte Schulungsmaßnahme

Eine Verwaltung mit elf Beschäftigten führt eine zweistündige Inhouse-Schulung durch. Der Ablauf: 30 Minuten Grundlagen und typische Fehlerbilder, 30 Minuten rechtlicher Rahmen (Art. 4, 5, 50 KI-VO; DSGVO-Grundsätze; RDG-Grenze), 45 Minuten praktische Arbeit an den drei im Haus freigegebenen Werkzeugen mit anonymisierten Beispielfällen, 15 Minuten Fragen und Vorstellung des Meldewegs.

Dokumentiert wird Folgendes und in einem Ordner „KI-Compliance" abgelegt:

• Einladung mit Datum, Uhrzeit und Zielgruppe
• Agenda mit Zeitangaben und benannten Inhalten
• die verwendeten Schulungsunterlagen als PDF, versioniert
• Teilnehmerliste mit Unterschriften; für zwei abwesende Beschäftigte ein dokumentierter Nachholtermin
• die KI-Richtlinie in der zum Schulungszeitpunkt gültigen Fassung
• Kenntnisnahmebestätigungen aller Beschäftigten zur Richtlinie
• ein kurzer Vermerk der Geschäftsführung zu Anlass, Zielsetzung und geplantem Wiederholungsturnus (jährlich, zusätzlich bei Einführung neuer Werkzeuge)
• für die beiden freien Mitarbeiter: eine Bestätigung, dass sie die Richtlinie erhalten und zur Kenntnis genommen haben

Damit ist genau das nachgewiesen, was Art. 4 KI-VO verlangt: die getroffenen Maßnahmen. Ein individueller Kompetenznachweis je Mitarbeiterin ist nicht erforderlich.

Anbieterauswahl und vertragliche Absicherung

Bei der Auswahl von Anbietern sollten mindestens folgende Punkte geklärt werden: Verarbeitungsort und Umgang mit Drittlandtransfers; Vorliegen und Inhalt eines Vertrags nach Art. 28 DSGVO; vertraglicher Ausschluss der Nutzung eingegebener Inhalte zum Modelltraining; Angaben des Anbieters zur eigenen Rolle nach der KI-Verordnung; Verfügbarkeit von Dokumentation und Bedienungsanleitungen; Regelungen zu Verfügbarkeit, Support und Datenexport bei Vertragsende.

Der letzte Punkt wird häufig unterschätzt. Wer Vorgangsdaten in einem KI-gestützten System führt, sollte vertraglich abgesichert haben, dass diese Daten bei einem Anbieterwechsel in einem verwertbaren Format herausgegeben werden. Für eine Verwaltung, die fremdes Vermögen betreut, ist die Datenhoheit keine Nebensache.

Rechtslage & Referenzurteile

Die Pflichten beim Einsatz von KI in der Hausverwaltung ergeben sich aus mehreren Regelwerken, die nebeneinander gelten:

• Art. 3 KI-VO – Begriffsbestimmungen, insbesondere KI-System, Anbieter, Betreiber und KI-Kompetenz
• Art. 4 KI-VO – Pflicht von Anbietern und Betreibern, Maßnahmen zu ergreifen, damit Personal und im Auftrag mit Betrieb und Nutzung befasste Personen über ein ausreichendes Maß an KI-Kompetenz verfügen
• Art. 5 KI-VO – verbotene Praktiken im KI-Bereich
• Art. 6 KI-VO – Einstufungsvorschriften für Hochrisiko-KI-Systeme, ergänzt durch Anhang III
• Art. 50 KI-VO – Transparenzpflichten für bestimmte KI-Systeme, unter anderem Kennzeichnung bei direkter Interaktion mit natürlichen Personen
• Art. 113 KI-VO – gestaffelte Anwendbarkeit; Kapitel I und die Verbote gelten seit dem 2. Februar 2025
• Art. 5, 6, 28, 30, 32, 35 DSGVO – Grundsätze, Rechtsgrundlagen, Auftragsverarbeitung, Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen sowie Datenschutz-Folgenabschätzung
• §§ 2, 3, 5 RDG – Begriff und Erlaubnispflicht der Rechtsdienstleistung sowie zulässige Nebenleistungen
• § 87 Abs. 1 Nr. 6 BetrVG – Mitbestimmung bei technischen Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind

Zu den hier behandelten Fragen – insbesondere zu Reichweite und Umfang der Kompetenzpflicht nach Art. 4 KI-VO, zur Abgrenzung zwischen zulässiger Unterstützung und unzulässiger Rechtsdienstleistung beim Einsatz generativer Systeme und zur Einordnung KI-gestützter Auswahlverfahren im Mietkontext – liegt noch keine gefestigte höchstrichterliche Rechtsprechung vor. Die Bewertung in diesem Beitrag beruht daher auf dem Wortlaut der Verordnung, ihrer Systematik und den allgemeinen Grundsätzen des Datenschutz- und Berufsrechts. Da die Verordnung erst schrittweise anwendbar wird, ist mit einer Konkretisierung durch Aufsichtspraxis und Rechtsprechung in den kommenden Jahren zu rechnen. Wer heute dokumentiert vorgeht, ist auf diese Konkretisierung gut vorbereitet.

Checkliste

• [ ] Ist erfasst, welche KI-gestützten Funktionen im Büro tatsächlich genutzt werden – auch solche innerhalb bestehender Software?
• [ ] Wurde für jede Anwendung geprüft, ob sie unter Art. 5, Art. 6 oder Art. 50 KI-VO fällt?
• [ ] Ist die eigene Rolle nach der KI-Verordnung geklärt (Betreiber, ggf. Anbieter)?
• [ ] Existiert eine schriftliche, datierte und versionierte KI-Richtlinie mit abschließender Liste freigegebener Werkzeuge?
• [ ] Ist die Nutzung nicht freigegebener Dienste für dienstliche Inhalte ausdrücklich untersagt?
• [ ] Wurden Schulungsmaßnahmen nach Art. 4 KI-VO durchgeführt und dokumentiert (Agenda, Unterlagen, Teilnehmerliste, Datum)?
• [ ] Sind auch freie Mitarbeiter und externe Dienstleister im Auftrag einbezogen?
• [ ] Liegen Kenntnisnahmebestätigungen zur KI-Richtlinie vor?
• [ ] Ist ein Wiederholungsturnus für Schulungen festgelegt?
• [ ] Besteht für jeden externen KI-Dienst ein Vertrag nach Art. 28 DSGVO?
• [ ] Ist die Nutzung eingegebener Inhalte zum Modelltraining vertraglich ausgeschlossen?
• [ ] Sind die Verarbeitungen im Verzeichnis nach Art. 30 DSGVO erfasst und Löschfristen für Eingaben und Ausgaben festgelegt?
• [ ] Wurde geprüft, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist?
• [ ] Ist sichergestellt, dass kein KI-System Entscheidungen mit Außenwirkung selbstständig trifft?
• [ ] Ist ein Vier-Augen-Prinzip für Ausgaben mit finanzieller oder rechtlicher Wirkung festgelegt?
• [ ] Werden Chatbots und vergleichbare Systeme nach Art. 50 KI-VO als KI gekennzeichnet?
• [ ] Wurden Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG geprüft?
• [ ] Wurden Eigentümer und Mieter über den Einsatz und die menschliche Letztverantwortung informiert?

Häufige Fragen (FAQ)

Gilt die KI-Verordnung überhaupt für eine kleine Hausverwaltung?
Ja. Die KI-Verordnung knüpft nicht an die Unternehmensgröße an, sondern an die Rolle: Wer ein KI-System unter eigener Verantwortung nutzt, ist Betreiber im Sinne der Verordnung. Für kleine Verwaltungen bedeutet das in der Regel keine aufwendigen Pflichten, weil die typischen Anwendungen nicht als hochriskant einzustufen sind. Die Kompetenzpflicht nach Art. 4 KI-VO gilt jedoch unabhängig von Größe und Risikoklasse. Der Aufwand ist überschaubar – eine Richtlinie, eine dokumentierte Schulung, eine Liste freigegebener Werkzeuge genügen in vielen Fällen.

Was genau muss ich nach Art. 4 KI-VO nachweisen können?
Nachzuweisen sind die getroffenen Maßnahmen, nicht ein bestimmtes Kompetenzniveau einzelner Beschäftigter. Die Verordnung verlangt, dass Anbieter und Betreiber nach besten Kräften geeignete Maßnahmen ergreifen, damit die mit Betrieb und Nutzung befassten Personen über ausreichende KI-Kompetenz verfügen. Praktisch heißt das: Schulungsunterlagen, Agenda, Teilnehmerlisten, die KI-Richtlinie und Kenntnisnahmebestätigungen aufbewahren. Prüfungen oder Zertifikate für einzelne Mitarbeiterinnen sind nicht erforderlich. Entscheidend ist, dass die Maßnahmen zum Einsatzkontext passen und dokumentiert sind.

Darf ich ein KI-System Mieteranfragen beantworten lassen?
Für Standardauskünfte ohne rechtlichen Gehalt – Öffnungszeiten, Ansprechpartner, Ablauf einer Schadensmeldung – ist das grundsätzlich möglich. Zwei Bedingungen sind zu beachten: Nach Art. 50 KI-VO muss erkennbar sein, dass es sich um ein KI-System handelt, und es muss ein Weg zu einer menschlichen Ansprechperson bestehen. Rechtliche Auskünfte – etwa zur Wirksamkeit einer Mieterhöhung oder zu Duldungspflichten – dürfen nicht automatisiert erteilt werden; hier greifen die Grenzen des Rechtsdienstleistungsgesetzes.

Darf ich Mieterdaten in ein KI-Werkzeug eingeben?
Nur unter klaren Voraussetzungen: Es muss eine Rechtsgrundlage nach Art. 6 DSGVO bestehen, mit dem Anbieter muss ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen sein, und die Verarbeitung muss dem Grundsatz der Datenminimierung entsprechen. Frei zugängliche Onlinedienste ohne solchen Vertrag sind für personenbezogene Daten tabu. Wo es fachlich möglich ist, sollten Daten vor der Eingabe pseudonymisiert werden – für eine Textformulierung braucht das System selten den vollständigen Namen und die Anschrift.

Muss der Betriebsrat beteiligt werden?
Wo ein Betriebsrat besteht, in aller Regel ja. § 87 Abs. 1 Nr. 6 BetrVG begründet ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach der weiten Auslegung dieser Vorschrift genügt die objektive Eignung zur Überwachung; eine entsprechende Absicht ist nicht erforderlich. Da viele KI-gestützte Systeme protokollieren, wer wann welche Vorgänge bearbeitet, ist die Schwelle schnell erreicht. Empfehlenswert ist eine Betriebsvereinbarung mit klaren Auswertungsverboten.

Wer haftet, wenn ein KI-System einen Fehler macht?
Gegenüber Eigentümern und Mietern haftet die Verwaltung. Der Einsatz eines KI-Werkzeugs ist eine Organisationsentscheidung des Verwalters; ein Fehler des Systems entlastet ihn gegenüber seinen Auftraggebern nicht. Genau deshalb ist die menschliche Letztentscheidung so wichtig: Wer Ausgaben vor der Verwendung prüft, verhindert, dass ein Modellfehler zu einem Verwaltungsfehler wird. Vertragliche Regressansprüche gegen den Anbieter sind in der Praxis oft begrenzt und ersetzen die eigene Qualitätssicherung nicht.

Seit wann gilt die Pflicht zur KI-Kompetenz?
Seit dem 2. Februar 2025. Art. 113 KI-VO regelt die gestaffelte Anwendbarkeit der Verordnung; die Bestimmungen des Kapitels I – darunter Art. 4 KI-VO – sowie die Verbote des Art. 5 KI-VO gelten ab diesem Datum. Andere Teile der Verordnung, insbesondere die Anforderungen an Hochrisiko-Systeme, greifen zeitlich später. Wer bislang keine Maßnahmen ergriffen hat, sollte dies zeitnah nachholen und die Dokumentation rückwirkend nicht datieren, sondern den tatsächlichen Umsetzungszeitpunkt festhalten.

Quellen & Rechtshinweis

Dieser Beitrag stützt sich auf die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung, „EU AI Act"), insbesondere Art. 3 (Begriffsbestimmungen einschließlich KI-Kompetenz), Art. 4 (Maßnahmen zur Sicherstellung ausreichender KI-Kompetenz bei Personal und im Auftrag befassten Personen), Art. 5 (verbotene Praktiken), Art. 6 nebst Anhang III (Einstufung als Hochrisiko-KI-System), Art. 50 (Transparenzpflichten) und Art. 113 (gestaffelte Anwendbarkeit; Geltung des Kapitels I und der Verbote seit dem 02.02.2025). Ergänzend berücksichtigt wurden die Datenschutz-Grundverordnung, insbesondere Art. 5, 6, 28, 30, 32 und 35 DSGVO, das Rechtsdienstleistungsgesetz (§§ 2, 3, 5 RDG) sowie § 87 Abs. 1 Nr. 6 BetrVG. Zu den behandelten Fragen liegt noch keine gefestigte höchstrichterliche Rechtsprechung vor; die Bewertung beruht auf dem Verordnungs- und Gesetzeswortlaut. Rechtsstand: August 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Die Angaben in den Praxisbeispielen sind vereinfacht und dienen nur der Veranschaulichung; Anforderungen und Fristen weichen im Einzelfall ab. Für eine verbindliche Beurteilung Ihres Einzelfalls wenden Sie sich bitte an eine fachkundige Beraterin oder einen fachkundigen Berater.

Über EXTRA Immobilien – Ihre Technologieverwaltung

KI in der Hausverwaltung ist für uns kein Marketingbegriff, sondern ein Werkzeug mit klaren Regeln. Die EXTRA Immobilien Gruppe versteht sich als Technologieverwaltung: Wir setzen digitale und KI-gestützte Verfahren dort ein, wo sie Vorgänge messbar beschleunigen – bei der Sichtung von Schadensmeldungen, der Belegverarbeitung oder der Vorbereitung von Unterlagen. Ebenso klar ist, wo die Grenze verläuft: Entscheidungen und Außenkommunikation verantworten Menschen, nicht Systeme. Zur Kategorie Digitalisierung gehört für uns deshalb beides – der Mut, Technik einzusetzen, und die Disziplin, sie zu dokumentieren, datenschutzkonform einzubinden und regelmäßig zu prüfen. So bleibt die Verwaltung schnell, nachvollziehbar und persönlich ansprechbar.

Warum EXTRA Immobilien die richtige Wahl ist:

• Schriftliche KI-Richtlinie mit abschließender Liste freigegebener Werkzeuge und klaren Prüfpflichten
• Dokumentierte Schulungsmaßnahmen im Sinne der Kompetenzanforderungen aus Art. 4 KI-VO
• Vier-Augen-Prinzip bei allen Ausgaben mit finanzieller oder rechtlicher Wirkung
• Datenschutzkonforme Einbindung: Auftragsverarbeitung nach Art. 28 DSGVO, Datenminimierung, Löschkonzept
• Keine automatisierten Entscheidungen mit Außenwirkung – die Letztentscheidung liegt beim Menschen
• Transparente Information von Eigentümern und Mietern über eingesetzte digitale Verfahren

Ihr persönlicher Ansprechpartner: Daniel Mathiesen, EXTRA Immobilien Gruppe

Sie überlegen, KI-gestützte Werkzeuge in Ihrer Verwaltung einzusetzen, und fragen sich, welche Nachweise Sie dafür brauchen? Oder Sie möchten wissen, wie wir Technik und persönliche Betreuung in Ihrem Objekt konkret verbinden? Sprechen Sie mich direkt an – ich zeige Ihnen, welche Schritte sinnvoll sind und in welcher Reihenfolge.

👉 Jetzt Angebot abholen: https://www.extraimmobilien.com/Forms/Angebot-formular.html