Können wir den Piloten in unserer eigenen Microsoft-365-Umgebung betreiben?

Ja, und das ist der von uns bevorzugte Weg. Die Daten bleiben dann in der Umgebung, in der sie ohnehin liegen, Ihre bestehenden Verträge und Ihr Berechtigungskonzept greifen weiter, und die Zahl der beteiligten Stellen bleibt klein. Alternativ ist der Betrieb in einer vereinbarten deutschen Cloud möglich. Was nicht infrage kommt, ist ein Betrieb ohne festgelegten Verarbeitungsort.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Das hängt vom Umfang und von der Art der Daten ab und ist im Einzelfall zu prüfen. Bei einem auf ein Postfach begrenzten Assistenzsystem mit menschlicher Freigabe ist sie häufig nicht zwingend, bei umfangreicher Verarbeitung oder wenn regelmäßig Gesundheitsangaben auftreten, kann sie erforderlich werden. Die Prüfung dieser Frage gehört in die Vorbereitung und nicht in den laufenden Betrieb. Die abschließende Bewertung trifft Ihr Datenschutzbeauftragter.

Was passiert mit den Daten, wenn wir den Piloten nicht verlängern?

Sie werden nach den im Vorfeld vereinbarten Fristen gelöscht, und Sie erhalten eine Bestätigung darüber. Die im Piloten entstandenen Zuordnungen und Vorgänge gehören Ihnen und werden in einem auswertbaren Format übergeben. Ein Pilot, aus dem man nicht sauber wieder herauskommt, ist kein Pilot, sondern eine Bindung.

Wie gehen Sie mit Gesundheitsangaben in Mieter-Mails um?

Sie werden nicht gesondert ausgewertet und nicht in strukturierte Zusatzfelder übernommen. Die Mail bleibt Teil des Vorgangs, weil sie zur Sachverhaltsdarstellung gehört, aber das System bildet daraus keine eigene Kategorie und keinen Filter. Diese Beschränkung ist bewusst gesetzt: Besondere Kategorien nach Artikel 9 erhöhen die Anforderungen erheblich, und der Nutzen einer Auswertung steht dazu in keinem Verhältnis.

Ist der KI-Anbieter in der Datenschutzerklärung zu nennen?

Ja. Wenn personenbezogene Daten an einen KI-Anbieter übermittelt werden, gehört das transparent in die Datenschutzerklärung: welcher Anbieter, zu welchem Zweck, auf welcher Rechtsgrundlage, mit welcher Aufbewahrung. Wir liefern die dafür nötigen Angaben zu, die Aktualisierung Ihrer Erklärung bleibt Ihre Aufgabe beziehungsweise die Ihres Datenschutzbeauftragten.

Alle Artikel

Datenschutz

7 Min.

KI in der Hausverwaltung und DSGVO: was vor dem Start geklärt sein muss

Der häufigste Einwand gegen KI in der Hausverwaltung ist kein technischer, sondern ein datenschutzrechtlicher. Er ist berechtigt. In einem Sammelpostfach liegen Namen, Anschriften, Mietverhältnisse, Zahlungsrückstände und gelegentlich Gesundheitsangaben, etwa wenn eine Mieterin eine Schimmelmeldung mit einer Atemwegserkrankung begründet. Das ist kein Randfall, sondern Alltag. Dieser Artikel beschreibt, was aus unserer Sicht geklärt sein muss, bevor echte Daten verarbeitet werden. Er ersetzt keine Rechtsberatung, und wir bieten auch keine an.

Auf welcher Rechtsgrundlage läuft die Verarbeitung?

In den meisten Fällen auf Artikel 6 Absatz 1 Buchstabe b DSGVO, weil die Bearbeitung einer Mängelmeldung zur Erfüllung des Mietverhältnisses gehört, ergänzt um das berechtigte Interesse nach Buchstabe f für die interne Organisation. Eine gesonderte Einwilligung der Mieter ist für die Bearbeitung des Vorgangs selbst regelmäßig nicht erforderlich und wäre auch unpraktisch, weil sie widerrufbar wäre. Anders sieht es aus, sobald besondere Kategorien personenbezogener Daten nach Artikel 9 ins Spiel kommen. Deshalb gehört zur Vorbereitung die Frage, wie solche Angaben behandelt werden, wenn sie unaufgefordert in einer Mail auftauchen. Die praktikable Antwort ist meist: nicht gesondert auswerten, nicht in Zusatzfelder übernehmen.

Wer ist Verantwortlicher und wer Auftragsverarbeiter?

Verantwortlicher bleibt die Hausverwaltung, teilweise auch die Eigentümergemeinschaft oder der Bestandshalter, je nach Vertragsverhältnis. Jeder Dienstleister, der in ihrem Auftrag Daten verarbeitet, ist Auftragsverarbeiter und braucht einen Vertrag nach Artikel 28 DSGVO. Das gilt für uns genauso wie für den Betreiber der Cloud, in der verarbeitet wird. Wichtig ist die Kette: Ein AV-Vertrag mit uns nützt wenig, wenn die eingesetzten Unterauftragsverarbeiter nicht benannt und nicht abgesichert sind. Verlangen Sie diese Liste, bevor der Pilot startet, nicht danach. Für Verwaltungen mit eigener IT ist das ein vertrauter Vorgang, für kleinere Häuser oft der aufwendigste Teil der Vorbereitung.

Wo werden die Daten verarbeitet?

Diese Frage entscheidet über den Aufwand. Läuft die Verarbeitung in Ihrer eigenen Microsoft-365-Umgebung, bleiben die Daten dort, wo sie ohnehin liegen, und die bestehenden Verträge tragen einen großen Teil der Antwort schon. Läuft sie in einer separaten Umgebung, muss diese benannt, verortet und vertraglich abgesichert sein. Wir bevorzugen den ersten Weg, weil er die Zahl der beteiligten Stellen klein hält. Für den Piloten heißt das konkret: ein Postfach, eine definierte Ablage, kein Export in Werkzeuge, die nicht im Datenflussdiagramm stehen. Diese Beschränkung wirkt kleinlich und ist der Grund, warum ein Pilot überhaupt genehmigungsfähig wird.

Was muss vor dem Live-Gang schriftlich vorliegen?

Ein Datenflussdiagramm: welche Daten von wo nach wo, zu welchem Zweck, wie lange.
Der AV-Vertrag samt Liste der Unterauftragsverarbeiter und ihrer Standorte.
Ein Rollen- und Berechtigungskonzept: wer sieht welche Objekte und welche Vorgänge.
Die Löschfristen je Datenart, abgestimmt auf Ihre bestehenden Aufbewahrungspflichten.
Eine Ergänzung der Datenschutzerklärung und der Mieterinformation um die neue Verarbeitung.
Die Prüfung, ob eine Datenschutz-Folgenabschätzung nach Artikel 35 erforderlich ist.

Werden unsere Daten für das Training von KI-Modellen verwendet?

Bei den von uns eingesetzten Anbietern nicht, und das muss vertraglich stehen, nicht nur auf einer Marketingseite. Das ist einer der Punkte, an denen sich seriöse von unseriösen Angeboten trennen lassen. Fragen Sie konkret nach: Werden Inhalte gespeichert, und wenn ja, wie lange? Fließen sie in Modelltraining ein? Gibt es eine Zero-Retention-Option? Wer darauf ausweichend antwortet, hat die Frage entweder nicht geklärt oder die Antwort gefällt ihm nicht. Beides ist ein Ausschlussgrund, wenn es um Mieterdaten geht. In der Datenschutzerklärung sollte anschließend transparent stehen, welcher KI-Anbieter eingesetzt wird und was mit den Daten geschieht.

Muss man Mieter über den KI-Einsatz informieren?

Über die Verarbeitung ja, in der Datenschutzerklärung und in den Informationspflichten nach Artikel 13. Eine gesonderte Ankündigung an jeden Mieter ist bei einem Assistenzsystem mit menschlicher Freigabe in der Regel nicht erforderlich, weil weiterhin ein Mitarbeiter entscheidet und antwortet. Das ändert sich, sobald automatisiert entschieden oder versendet wird. Dann rückt Artikel 22 zur automatisierten Entscheidungsfindung ins Blickfeld, und die Anforderungen steigen deutlich. Auch das ist ein Argument dafür, die menschliche Freigabe nicht als Übergangslösung zu betrachten, sondern als dauerhaften Teil des Aufbaus.

Im Analyse-Workshop zu Beginn des Piloten legen wir Datenfluss, Rollen, Aufbewahrung und AV-Vertrag gemeinsam fest. Ohne geklärte Verarbeitung echter Mieterdaten geht nichts live.

30-Minuten-Postfach-Check buchen

Häufige Fragen

Können wir den Piloten in unserer eigenen Microsoft-365-Umgebung betreiben?: Ja, und das ist der von uns bevorzugte Weg. Die Daten bleiben dann in der Umgebung, in der sie ohnehin liegen, Ihre bestehenden Verträge und Ihr Berechtigungskonzept greifen weiter, und die Zahl der beteiligten Stellen bleibt klein. Alternativ ist der Betrieb in einer vereinbarten deutschen Cloud möglich. Was nicht infrage kommt, ist ein Betrieb ohne festgelegten Verarbeitungsort.
Brauchen wir eine Datenschutz-Folgenabschätzung?: Das hängt vom Umfang und von der Art der Daten ab und ist im Einzelfall zu prüfen. Bei einem auf ein Postfach begrenzten Assistenzsystem mit menschlicher Freigabe ist sie häufig nicht zwingend, bei umfangreicher Verarbeitung oder wenn regelmäßig Gesundheitsangaben auftreten, kann sie erforderlich werden. Die Prüfung dieser Frage gehört in die Vorbereitung und nicht in den laufenden Betrieb. Die abschließende Bewertung trifft Ihr Datenschutzbeauftragter.
Was passiert mit den Daten, wenn wir den Piloten nicht verlängern?: Sie werden nach den im Vorfeld vereinbarten Fristen gelöscht, und Sie erhalten eine Bestätigung darüber. Die im Piloten entstandenen Zuordnungen und Vorgänge gehören Ihnen und werden in einem auswertbaren Format übergeben. Ein Pilot, aus dem man nicht sauber wieder herauskommt, ist kein Pilot, sondern eine Bindung.
Wie gehen Sie mit Gesundheitsangaben in Mieter-Mails um?: Sie werden nicht gesondert ausgewertet und nicht in strukturierte Zusatzfelder übernommen. Die Mail bleibt Teil des Vorgangs, weil sie zur Sachverhaltsdarstellung gehört, aber das System bildet daraus keine eigene Kategorie und keinen Filter. Diese Beschränkung ist bewusst gesetzt: Besondere Kategorien nach Artikel 9 erhöhen die Anforderungen erheblich, und der Nutzen einer Auswertung steht dazu in keinem Verhältnis.
Ist der KI-Anbieter in der Datenschutzerklärung zu nennen?: Ja. Wenn personenbezogene Daten an einen KI-Anbieter übermittelt werden, gehört das transparent in die Datenschutzerklärung: welcher Anbieter, zu welchem Zweck, auf welcher Rechtsgrundlage, mit welcher Aufbewahrung. Wir liefern die dafür nötigen Angaben zu, die Aktualisierung Ihrer Erklärung bleibt Ihre Aufgabe beziehungsweise die Ihres Datenschutzbeauftragten.