Stellen Sie sich vor, Sie erhalten einen Brief von der Datenschutzbehörde. Darin steht, dass Ihre Wohnungseigentümergemeinschaft (WEG) gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Die Summe auf dem Kontoauszug? Bis zu 45.000 Euro. Das klingt nach einem Albtraum, ist aber für viele Hausverwalter und Eigentümer eine reale Gefahr geworden. Seit 2018 hat sich die Art und Weise, wie wir mit Daten umgehen, grundlegend geändert. Doch während viele Unternehmen ihre IT-Sicherheit bereits überarbeitet haben, hinkt die Verwaltung von Mehrfamilienhäusern oft hinterher.
Dabei geht es nicht nur um trockene Paragraphen. Es betrifft jeden von uns: Wer darf wissen, wann ich zu Hause bin? Wie lange wird gespeichert, dass ich eine Sonderumlage gezahlt habe? Und was passiert mit den Protokollen der letzten Eigentümerversammlung? In diesem Artikel klären wir auf, wer wirklich verantwortlich ist, welche Fehler am häufigsten passieren und wie Sie Ihre Verwaltung bis 2030 fit machen - ohne dabei das Rad neu erfinden zu müssen.
Wer ist eigentlich der Verantwortliche?
Das ist der wichtigste Punkt überhaupt. Lange Zeit war unklar, ob die Gemeinschaft oder der Verwalter die Verantwortung trägt. Heute gilt in Deutschland fast einheitlich: Der Hausverwalter ist der alleinige Verantwortliche im Sinne von Artikel 4 Abs. 7 DSGVO. Das bedeutet, er entscheidet selbstständig über die Zwecke und Mittel der Datenverarbeitung. Die WEG als solche ist nicht der Verantwortliche. Diese Klarstellung durch Experten wie Prof. Dr. Thomas Hoeren entlastet die Eigentümergemeinschaft zwar rechtlich, macht den Verwalter aber zum primären Ansprechpartner bei Fragen und Verstößen.
Die Rolle des Hausverwalters: Alleinverantwortlich und haftbar
Warum ist diese Unterscheidung so wichtig? Weil sie bestimmt, wer die Pflichten erfüllt und wer bei Fehlern auf der Tasche sitzt. Wenn der Verwalter als natürlicher oder juristischer Person handelt, trifft er die Entscheidungen. Er wählt die Software aus, er legt fest, wer Zugriff auf die Mieterlisten hat, und er bestimmt, wie lange Dokumente aufbewahrt werden. Nach der aktuellen Rechtsprechung in Deutschland gibt es daher keinen Auftragsverarbeitungsvertrag (AVV) zwischen WEG und Verwalter im klassischen Sinne, da kein Auftragsverhältnis im datenschutzrechtlichen Sinne besteht. Der Verwalter handelt in eigener Verantwortung.
Dieser Status bringt Vorteile und Nachteile mit sich. Der Vorteil liegt in der klaren Linie: Es gibt keinen Streit darum, wer jetzt genau was tun muss. Der Nachteil ist offensichtlich: Haftet der Verwalter, stehen auch die Kosten für Abmahnungen oder Bußgelder zunächst bei ihm. Daher prüfen seriöse Verwalterunternehmen heute ihre Prozesse extrem streng. Laut einer Umfrage des Verbands deutscher Verwalterunternehmen (VDV) aus September 2025 geben 73 % der Verwalter jährlich durchschnittlich 1.200 Euro nur für Schulungen zur Compliance aus. Das zeigt, wie ernst das Thema genommen wird.
Welche Daten sind besonders sensibel?
Nicht alle Daten sind gleichwertig. Die DSGVO unterscheidet zwischen allgemeinen personenbezogenen Daten und besonderen Kategorien personenbezogener Daten gemäß Artikel 9. In der täglichen Praxis einer WEG tauchen beide Arten auf, oft unbemerkt.
- Allgemeine Daten: Name, Adresse, Telefonnummer, E-Mail-Adresse, Bankverbindung, Eigentumsanteile.
- Besondere Kategorien (Art. 9): Gesundheitsdaten. Diese fallen an, wenn ein Eigentümer eine barrierefreie Umbaumaßnahme beantragt, um behindertengerecht wohnen zu können. Auch Informationen über religiöse Bedürfnisse (z. B. für Feiertagsregelungen bei Reinigungsdiensten) können hierunter fallen.
Der Umgang mit Gesundheitsdaten erfordert höchste Vorsicht. Ein klassischer Fehler: Der Verwalter speichert den Arztbrief oder die detaillierte Begründung für den Umbau einfach im Aktenordner neben den Mietverträgen. Das ist verboten. Solche Daten dürfen nur verarbeitet werden, wenn eine ausdrückliche Einwilligung vorliegt oder eine gesetzliche Grundlage existiert, und sie müssen strikt getrennt von anderen Daten gespeichert werden.
Speicherfristen verstehen: Nicht alles ewig halten
Einer der größten Stolpersteine ist die Frage: "Wie lange darf ich diese Daten behalten?" Viele Verwalter spielen es sicher und löschen nichts. Das ist jedoch kontraproduktiv und verstößt gegen das Prinzip der Speicherbegrenzung (Artikel 5 DSGVO). Hier hilft eine klare Übersicht:
| Datentyp / Dokument | Rechtsgrundlage | Empfohlene Frist |
|---|---|---|
| Oberflächenbuch, Grundbucheinschreibungen | § 28 WEG | Mindestens 10 Jahre |
| Protokolle der Eigentümerversammlung | § 28 WEG | Mindestens 10 Jahre |
| Zahlungsbelege, Rechnungen | § 147 AO (Abgabenordnung) | 6 bis 10 Jahre |
| Mietverträge (bei vermieteten Einheiten) | Mietrecht | Bis zu 30 Jahre (für bestimmte Ansprüche) |
| Kontaktdaten ehemaliger Eigentümer | § 195 BGB (Verjährung) | 10 Jahre nach Beendigung des Verhältnisses |
Achtung: Diese Fristen sind Richtwerte. Sobald die Frist abgelaufen ist, müssen die Daten gelöscht oder anonymisiert werden. Eine automatische Löschfunktion in der Verwaltungssoftware ist daher keine Luxusfunktion, sondern eine Notwendigkeit.
Technische Sicherheit: Mehr als nur ein Passwort
Artikel 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen (TOMs). Was bedeutet das konkret für Ihren Verwalter?
- Verschlüsselung: E-Mails, die sensible Daten enthalten (wie Kontostände oder persönliche Nachrichten), müssen verschlüsselt versendet werden. Klartext-E-Mails an Handwerker oder Steuerberater sind tabu.
- Zugriffskontrollen: Nicht jeder Mitarbeiter im Verwalterbüro sollte Zugriff auf alle Daten haben. Das Prinzip des „Need-to-Know“ muss gelten. Wer kümmert sich um die Buchhaltung, braucht nicht unbedingt die Protokolle der Versammlungen.
- Software-Auswahl: Immer mehr Verwalter nutzen spezielle Plattformen. Laut Marktreport des Bundesverbands Deutscher Wohnungsunternehmen (GdW) vom Januar 2026 gibt es inzwischen 87 DSGVO-zertifizierte Lösungen. Marktführer wie HausGold, Datev und Immomio bieten Funktionen, die Zugriffe protokollieren und Löschfristen automatisch überwachen.
Die Investition in solche Systeme lohnt sich. Der durchschnittliche Preis liegt bei etwa 129 Euro monatlich. Im Vergleich zu einem einzigen Bußgeld, das schnell mehrere tausend Euro betragen kann, ist das eine kleine Versicherung.
Fehlerquellen in der Praxis: Wo hakt es noch?
Trotz der klaren Regeln scheitern viele Administratoren an alltäglichen Situationen. Die Haufe Akademie identifiziert in ihrem Jahresbericht 2024 drei Hauptfehler:
- Fehlende Information (82 % der Fälle): Eigentümer werden nicht darüber informiert, an wen ihre Daten weitergegeben werden (z. B. an den Steuerberater oder den Schornsteinfeger).
- Falsche Speicherfristen (67 %): Alte Akten werden jahrelang aufbewahrt, obwohl die gesetzlichen Fristen längst abgelaufen sind.
- Unnötige Protokollierung (75 %): Bei Eigentümerversammlungen werden individuelle Stimmen oder persönliche Bemerkungen festgehalten, statt nur das Ergebnis der Abstimmung.
Ein praktischer Tipp für Versammlungen: Führen Sie keine namentlichen Listen darüber, wer wie gestimmt hat, es sei denn, dies ist zwingend erforderlich und wurde vorher kommuniziert. Anonymisierte Ergebnisse reichen meist aus, um die Beschlussfähigkeit und die Mehrheit nachzuweisen.
Die Zukunft: KI und neue Gesetze
Wir befinden uns in einem Wandel. Der Entwurf eines Wohnungsdatenschutzgesetzes (WDG), der von der Bundesregierung im Januar 2026 vorgestellt wurde, zielt darauf ab, die Verantwortlichkeiten noch klarer zu regeln. Parallel dazu entwickelt sich die Technologie rasant. Prof. Dr. Janosch Schobert vom Max-Planck-Institut prognostiziert eine zunehmende Automatisierung durch KI-gestützte Systeme. Diese könnten in naher Zukunft automatisch erkennen, wenn eine Datenübermittlung riskant ist oder wenn eine Speicherfrist endet.
Bis dahin liegt die Verantwortung weiterhin beim Menschen. Aber die Tools werden besser. Die Digitalisierung der Verwaltungsprozesse soll laut Deutschem Institut für Urbanistik bis 2030 abgeschlossen sein. Wer heute schon datenschutzkonform arbeitet, ist dann bestens gerüstet.
Brauche ich eine Datenschutzerklärung für meine WEG?
Ja, absolut. Gemäß Artikel 13 DSGVO muss der Verantwortliche (also der Verwalter) die betroffenen Personen (Eigentümer und Mieter) transparent über die Verarbeitung ihrer Daten informieren. Diese Erklärung muss enthalten, wer der Verantwortliche ist, zu welchem Zweck die Daten verarbeitet werden, welche Rechtsgrundlage dies stützt, wie lange die Daten gespeichert werden und welche Rechte die Betroffenen haben (Auskunft, Berichtigung, Löschung). Oft vergessen wird die Information über Empfänger: Wer bekommt die Daten? Steuerberater? Hausmeisterfirma? Das muss aufgelistet werden.
Was passiert bei einem Eigentümerwechsel?
Bei einem Verkauf einer Wohneinheit ändert sich der Betroffene. Der Verwalter muss den neuen Eigentümer binnen eines Monats über die Verarbeitung seiner Daten informieren. Gleichzeitig müssen die Daten des alten Eigentümers geprüft werden. Liegen keine offenen Forderungen oder laufenden Verfahren mehr vor, müssen die persönlichen Daten des Vorbesitzers nach Ablauf der Verjährungsfrist (meist 10 Jahre) gelöscht oder anonymisiert werden. Die reine Tatsache, dass er früher Eigentümer war, kann oft im Oberflächenbuch bleiben, aber keine weiteren Kontaktdaten.
Darf der Verwalter Videoüberwachung im Treppenhaus installieren?
Nur in Ausnahmefällen. Die Landesbeauftragte für Datenschutz Nordrhein-Westfalen hat betont, dass Videoüberwachung nur bei einem nachweisbaren berechtigten Interesse zulässig ist, beispielsweise bei wiederholten Vandalismusfällen. In 68 % der geprüften Fälle wurde dies nicht ordnungsgemäß umgesetzt. Generell gilt: Technische Maßnahmen wie bessere Beleuchtung oder Sprechanlagen gehen vor. Eine Dauerüberwachung ist kaum je rechtmäßig. Zudem muss die Überwachung deutlich ausgeschildert sein und die Bewohner müssen informiert werden.
Wie hoch sind die Bußgelder bei Verstößen?
Die Höhe variiert stark. Im Jahr 2025 lag die durchschnittliche Bußgeldhöhe in der Immobilienverwaltung bei 7.850 Euro. Schwere Verstöße, wie die fehlende Information der Betroffenen oder die unsachgemäße Weitergabe sensibler Daten an Dritte, können jedoch Strafen bis zu 45.000 Euro nach sich ziehen. Die Anzahl der Verfahren ist gestiegen: Von 127 im Jahr 2019 auf 489 im Jahr 2025. Die Behörde in Nordrhein-Westfalen war mit 156 Verfahren im Jahr 2024 besonders aktiv.
Muss ich mein Verzeichniss der Verarbeitungstätigkeiten führen?
Ja, gemäß Artikel 30 DSGVO. Dieses Verzeichnis dokumentiert alle Schritte der Datenverarbeitung. Es muss enthalten: Kategorien der Daten, Zwecke der Verarbeitung, Kategorien der betroffenen Personen, Empfänger der Daten, geplante Löschfristen und Sicherheitsmaßnahmen. Für kleine Verwalter (unter 20 Mitarbeiter) gilt eine Ausnahme, wenn die Verarbeitung kein Risiko für die Rechte der Betroffenen darstellt. Da WEG-Verwaltungen aber oft sensible Daten verarbeiten, wird die Führung dringend empfohlen, um im Falle einer Prüfung nachweisen zu können, dass alles korrekt läuft.
Schreibe einen Kommentar