KI in der Hausverwaltung DSGVO-konform einsetzen
In einem Verwalter-Postfach liegen Namen, Anschriften, Bankverbindungen, Mietrückstände, Streitigkeiten zwischen Nachbarn und gelegentlich Angaben zur Gesundheit. Wer darauf ein KI-System ansetzt, verarbeitet personenbezogene Daten in großem Umfang — und muss das erklären können, wenn die Aufsichtsbehörde, ein Beirat oder ein Eigentümer nachfragt. Diese Seite beschreibt, wie die Verarbeitung eingeordnet ist, welche Unterlagen Sie von uns bekommen und wo die Grenzen einer solchen Zusage liegen.
Wer ist verantwortlich, wenn eine KI Mieterdaten verarbeitet?
Die Rollen sind eindeutig verteilt: Ihre Verwaltung bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie entscheiden, welche Postfächer angebunden werden, welche Objekte hinterlegt sind und was mit den Entwürfen geschieht. Velo Automation ist Auftragsverarbeiter — wir verarbeiten die Daten ausschließlich auf Ihre Weisung und für den vereinbarten Zweck.
Daraus folgt eine harte Pflicht: Ohne Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO darf die Verarbeitung nicht beginnen. Wir stellen diesen Vertrag deutschsprachig und nach deutschem Recht, vor der Einrichtung und ohne dass Sie ihn anfordern müssen. Er benennt Gegenstand und Dauer, Datenarten und betroffene Personen, Weisungsbindung, Vertraulichkeit, die Unterstützung bei Betroffenenrechten und die Löschung am Ende. Zur Prüfung bekommen Sie ihn vorab als Entwurf.
Warum vermeidet ein eigener Server die Drittlandsübermittlung?
Die Übermittlung in ein Drittland ist der Punkt, an dem in der Praxis die meisten Prüfungen hängenbleiben. Art. 44 ff. DSGVO verlangt für jede Übermittlung außerhalb der EU eine eigene Rechtsgrundlage und eine Bewertung des Empfängerlands. Bei geteilten Cloud-Diensten müssen Sie diese Prüfung führen, sobald Support, Backup oder ein eingebundenes Sprachmodell außerhalb der EU sitzt — und Sie müssen sie wiederholen, wenn der Anbieter seine Unterauftragnehmer ändert.
Wir gehen den umgekehrten Weg: Ihre Instanz läuft auf einem Server in Deutschland, der ausschließlich Ihrer Verwaltung zugeordnet ist. Es gibt keine gemeinsame Datenbank mit anderen Kunden und keinen Vektorindex, in dem Ihre Dokumente neben denen fremder Verwaltungen liegen. Ihre Inhalte werden nicht zum Training von Modellen verwendet, die anderen Kunden zur Verfügung stehen. Damit entsteht im Regelbetrieb kein Sachverhalt, für den Sie eine Drittlandsprüfung führen müssten — die technischen Details stehen auf der Seite Eigener Server.
Was bekomme ich außer dem AVV noch an Unterlagen?
Ein Vertrag allein hilft Ihnen bei einer Prüfung wenig. Deshalb gehört zur Einrichtung ein Dokumentenpaket, das Sie in Ihre eigene Datenschutzdokumentation übernehmen können:
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Verschlüsselung im Transport und im Ruhezustand, Zugriffskonzept mit persönlichen Zugängen, Protokollierung der Zugriffe, Trennung von Test- und Produktivbetrieb, Backup- und Wiederherstellungsverfahren mit Aufbewahrungsdauer.
- Löschkonzept: Welche Daten wie lange vorgehalten werden, wann Entwürfe, Protokolle und Anhänge verfallen, und wie eine Löschung auf Ihre Weisung dokumentiert wird.
- Baustein für das Verarbeitungsverzeichnis (Art. 30 DSGVO): Ein vorformulierter Eintrag mit Zweck, Datenkategorien, Empfängern, Fristen und Maßnahmen, den Sie in Ihr bestehendes Verzeichnis einsetzen und anpassen.
- Liste der Unterauftragnehmer: Wer am Betrieb beteiligt ist — Rechenzentrum, gegebenenfalls Modellbetrieb — mit Sitz und Aufgabe. Änderungen kündigen wir vorher an, damit Sie widersprechen können.
Ob für Ihren Einsatz zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist, hängt vom Umfang Ihrer Verarbeitung ab. Wir liefern die technischen Angaben dafür zu; die Bewertung selbst trifft Ihre Verwaltung, im Zweifel mit Ihrem Datenschutzbeauftragten.
Fällt ein KI-Postfach unter den EU AI Act?
Die Verordnung (EU) 2024/1689 stuft KI-Systeme nach Risiko ein. Das System, um das es hier geht, ist ein Assistenzsystem: Es priorisiert eingehende Nachrichten, ordnet sie einem Objekt zu und schlägt einen Antworttext vor. Es entscheidet nichts. Kein Entwurf verlässt das Haus, ohne dass ein Mensch ihn gelesen und freigegeben hat — der Freigabe-Ablauf beschreibt das im Detail. Damit trifft das System keine automatisierte Entscheidung mit rechtlicher Wirkung gegenüber Mietern oder Eigentümern, weder im Sinne von Art. 22 DSGVO noch als Hochrisiko-Anwendung im Sinne des Anhangs III der Verordnung.
Was bleibt, sind Transparenzpflichten und die allgemeine Anforderung, dass Ihre Mitarbeitenden im Umgang mit dem System hinreichend geschult sind. Beides deckt die Einweisung bei der Einrichtung ab. Eine Einordnung ersetzt allerdings keine rechtliche Prüfung im Einzelfall: Wenn Sie das System später für Bonitätsbewertungen, Auswahlentscheidungen oder Ähnliches nutzen wollen, ändert sich die Bewertung — und dann sollten Sie das vorher klären lassen.
Was passiert, wenn in einer Anfrage Gesundheitsdaten stehen?
Das kommt häufiger vor, als es die Formularlogik vorsieht: „Ich bin gehbehindert und komme über den Bauzaun nicht zur Haustür", „meine Tochter hat Asthma, der Schimmel im Bad ist ein Problem". Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, und sie kommen unaufgefordert ins Postfach.
Wir behandeln solche Angaben nach drei Regeln. Erstens: Sie werden nicht ausgewertet, um Mieter zu kategorisieren — es entsteht kein Gesundheitsmerkmal am Datensatz. Zweitens: Erkennt das System Hinweise auf gesundheitliche Umstände, wird der Vorgang zur menschlichen Bearbeitung markiert statt mit einem Textbaustein beantwortet. Drittens: Solche Inhalte gehen nicht in den durchsuchbaren Dokumentenbestand ein, sondern bleiben am Vorgang und verfallen mit ihm.
Häufige Fragen zu Datenschutz und KI
Brauchen wir einen Auftragsverarbeitungsvertrag?
Ja. Sobald wir Mieter- und Eigentümerdaten in Ihrem Auftrag verarbeiten, ist ein Vertrag nach Art. 28 DSGVO Pflicht. Sie bekommen ihn von uns gestellt, auf Deutsch, vor dem Start und ohne Nachfragen — mit Velo Automation als deutschem Vertragspartner.
Werden Mieterdaten zum Training von KI-Modellen genutzt?
Nein. Ihre Daten werden ausschließlich zur Bearbeitung Ihrer Vorgänge verwendet und fließen nicht in das Training von Modellen. Es gibt auch keinen gemeinsamen Index über mehrere Kunden — jede Verwaltung hat ihren eigenen Server und ihren eigenen Datenbestand.
Was passiert bei einer Auskunftsanfrage nach Art. 15 DSGVO?
Sie können zu einer Person nachvollziehen, welche Nachrichten verarbeitet wurden, welche Entwürfe entstanden sind und wer sie freigegeben hat. Der Freigabeschritt wird protokolliert, dadurch ist die Verarbeitung dokumentiert statt nur behauptet.
Fällt der Einsatz unter den AI Act?
Die Priorisierung und Entwurfserstellung im Posteingang ist kein Hochrisiko-System im Sinne des AI Act. Entscheidend ist, dass kein automatisierter Versand und keine automatisierte Entscheidung gegenüber Betroffenen stattfindet — die Entscheidung trifft Ihr Team.
Unterlagen vorab prüfen lassen
Sie bekommen den Auftragsverarbeitungsvertrag, die Maßnahmenbeschreibung und den Baustein für Ihr Verarbeitungsverzeichnis als Entwurf zugeschickt — vor jeder Verpflichtung, damit Ihr Datenschutzbeauftragter sie in Ruhe ansehen kann. Der Einstieg mit einem Postfach kostet 990 € Einrichtung und 390 € im Monat.
Gespräch vereinbarenRechtsgrundlagen: Verordnung (EU) 2016/679 (DSGVO, EUR-Lex), insbesondere Art. 9, 22, 28, 30, 32, 35 und 44 ff.; Verordnung (EU) 2024/1689 (KI-Verordnung, EUR-Lex). Diese Seite ist eine sachliche Einordnung unseres Dienstes und ersetzt keine rechtliche Prüfung im Einzelfall. Preise Stand August 2026, Alle Preise zzgl. USt. Einrichtung einmalig, Betrieb monatlich.