Eine Hausverwaltung verarbeitet fortlaufend personenbezogene Daten: Namen, Anschriften, Bankverbindungen, Verbrauchswerte, Zahlungsverhalten, gelegentlich Gesundheitsangaben, wenn es um Barrierefreiheit oder eine Härtefallprüfung geht. Datenschutz ist damit kein Sonderthema, sondern Teil des Tagesgeschäfts. Die gute Nachricht: Wer sauber arbeitet, erfüllt die meisten Anforderungen ohnehin.
Auf welcher Grundlage verarbeitet wird
Jede Verarbeitung braucht eine Rechtsgrundlage. In der Verwaltung sind drei einschlägig, und sie decken praktisch alles ab.
Die Vertragserfüllung trägt den größten Teil: Ohne Name, Anschrift und Bankverbindung lässt sich ein Mietverhältnis nicht durchführen. Dazu gehören auch Verbrauchsdaten für die Abrechnung und die Korrespondenz über Mängel.
Die rechtliche Verpflichtung deckt alles ab, was das Gesetz verlangt: die Wohnungsgeberbestätigung, steuerliche Aufzeichnungen, Nachweise über Prüfpflichten, die Aufbewahrung von Buchungsbelegen.
Das berechtigte Interesse trägt den Rest, sofern die Interessen der Betroffenen nicht überwiegen: die Führung einer Objektakte, die Dokumentation von Vorfällen im Haus, in engen Grenzen eine Videoüberwachung an einem tatsächlich gefährdeten Bereich. Diese Grundlage verlangt immer eine Abwägung, und die sollte einmal schriftlich festgehalten werden, statt jedes Mal neu improvisiert zu werden.
Die Einwilligung bleibt die Ausnahme. Sie ist freiwillig, jederzeit widerruflich und deshalb als Grundlage für dauerhafte Abläufe unpraktisch. Sinnvoll ist sie dort, wo es wirklich um Freiwilliges geht: die Aufnahme in eine Nachbarschaftsliste, die Nutzung einer privaten Mobilnummer für Terminabsprachen.
Verantwortlicher oder Auftragsverarbeiter
Wer entscheidet über Zwecke und Mittel der Verarbeitung, ist Verantwortlicher. Wer nur weisungsgebunden für einen anderen verarbeitet, ist Auftragsverarbeiter. Für die Verwaltung ist die Einordnung nicht in jedem Fall eindeutig.
In der Mietverwaltung hängt es von der Ausgestaltung ab. Wer im Namen und nach Weisung des Eigentümers arbeitet und keine eigenen Entscheidungen über die Datenverarbeitung trifft, kommt der Auftragsverarbeitung nahe. Wer eigenständig über Abläufe, Systeme und Aufbewahrung entscheidet, ist eher Verantwortlicher. Die Frage ist umstritten; wichtiger als das Etikett ist, dass die Rollenverteilung im Verwaltervertrag benannt wird und beide Seiten dasselbe darunter verstehen.
In der Wohnungseigentumsverwaltung spricht viel dafür, die Verwaltung als eigenständig Verantwortliche anzusehen, weil sie eigene gesetzliche Pflichten erfüllt und nicht nur Weisungen ausführt. Auch hier gilt: Klären Sie die Einordnung im Vertrag und leiten Sie daraus ab, wer die Betroffenen informiert und wer Auskunftsersuchen beantwortet.
Auftragsverarbeitung mit Dienstleistern
Sobald ein Dienstleister im Auftrag der Verwaltung personenbezogene Daten verarbeitet, ist ein Vertrag über die Auftragsverarbeitung zu schließen. Betroffen sind typischerweise:
- Messdienstleister für Heizkosten und Wasser
- Anbieter der Verwaltungssoftware, wenn die Daten bei ihm gehostet werden
- Rechenzentren und Cloudanbieter, auch für Backups
- externe Buchhaltung, Lohnabrechnung, Schreibbüros
- Anbieter von Portalen für Belegeinsicht oder Mieterkommunikation
Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die technischen und organisatorischen Maßnahmen beschreiben. Prüfen Sie zusätzlich, ob Unterauftragnehmer eingesetzt werden und ob Daten außerhalb der Europäischen Union verarbeitet werden. Beides kommt bei Cloudangeboten häufig vor und ist kein Ausschlusskriterium, aber es muss geregelt sein.
Nicht jeder externe Partner ist Auftragsverarbeiter. Ein Handwerker, ein Rechtsanwalt oder ein Steuerberater verfolgt eigene berufliche Pflichten und ist damit selbst Verantwortlicher. Für die Weitergabe der Daten an ihn braucht es eine Rechtsgrundlage, aber keinen Auftragsverarbeitungsvertrag.
Mietinteressenten und Selbstauskunft
Bei der Vermietung wird häufig zu früh zu viel abgefragt. Sinnvoll ist ein gestuftes Vorgehen.
Für die Besichtigung genügen Name und Kontaktdaten. Fragen zu Einkommen, Beruf oder Bonität sind zu diesem Zeitpunkt nicht erforderlich, weil noch kein konkretes Vertragsinteresse besteht.
Kommt es zur engeren Auswahl, sind Angaben zur Zahlungsfähigkeit gerechtfertigt: Einkommen in einer Größenordnung, Arbeitsverhältnis, Bonitätsauskunft, Anzahl der einziehenden Personen, Haustiere, gewerbliche Nutzung.
Unzulässig bleiben Fragen nach Religion, Parteizugehörigkeit, Mitgliedschaft in einer Gewerkschaft oder einem Mieterverein, Schwangerschaft und Familienplanung, Krankheiten sowie nach Vorstrafen ohne konkreten Bezug zum Mietverhältnis. Die Antworten darauf dürfen nicht verlangt und nicht gespeichert werden.
Unterlagen der nicht berücksichtigten Bewerber sind zu löschen, sobald die Wohnung vergeben ist. Eine Aufbewahrung von wenigen Monaten lässt sich mit möglichen Ansprüchen nach dem Gleichbehandlungsrecht begründen; danach fehlt der Zweck. Ein fester Löschtermin im Ablauf ist einfacher als eine Einzelfallprüfung.
Aufbewahren und Löschen
Löschen und Aufbewahren stehen in Spannung zueinander. Das Datenschutzrecht verlangt Löschung, wenn der Zweck entfällt; Handels- und Steuerrecht verlangen Aufbewahrung. Die Auflösung ist einfach: Solange eine gesetzliche Aufbewahrungspflicht besteht, wird nicht gelöscht, sondern die weitere Verwendung eingeschränkt.
Für die Praxis empfiehlt sich ein knappes Löschkonzept mit Kategorien statt Einzelfällen:
- Buchungsbelege, Jahresabschlüsse und Abrechnungen: nach den steuerlichen Fristen, die zuletzt geändert wurden und daher zu prüfen sind
- Mietverträge und Korrespondenz: bis zum Ablauf der Verjährung nach Ende des Mietverhältnisses
- Kautionsunterlagen: bis zur endgültigen Abrechnung und dem Ablauf möglicher Ansprüche
- Bewerbungen auf Wohnungen: wenige Monate nach der Absage
- Aufzeichnungen einer Videoüberwachung: wenige Tage, sofern kein Vorfall zu klären ist
- Protokolle von Prüfpflichten: über die Nutzungsdauer der Anlage hinaus, weil sie der Nachweis sind
Das Konzept ist auch die Antwort auf die Frage, warum in einem Auskunftsersuchen bestimmte Daten noch vorhanden sind. Ohne Konzept wirkt jede Speicherung willkürlich.
Auskunftsrecht und weitere Betroffenenrechte
Das Auskunftsrecht ist das mit Abstand am häufigsten geltend gemachte Recht, oft im Streit über eine Abrechnung oder eine Kündigung. Zu beantworten ist innerhalb eines Monats. Bei umfangreichen Anfragen kann die Frist um zwei Monate verlängert werden, worüber der Betroffene innerhalb des ersten Monats zu informieren ist.
Auszugeben sind die verarbeiteten Daten, die Zwecke, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, die Herkunft der Daten und ein Hinweis auf die weiteren Rechte einschließlich der Beschwerde bei der Aufsichtsbehörde. Dazu kommt eine Kopie der Daten. Enthalten Dokumente Angaben zu anderen Personen, etwa Beschwerden von Nachbarn, sind diese zu schwärzen.
Neben der Auskunft bestehen Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragung und Widerspruch. Weiter gehören zum Pflichtprogramm ein Verzeichnis der Verarbeitungstätigkeiten, die Information der Betroffenen bei Erhebung der Daten sowie die Meldung einer Datenpanne an die Aufsichtsbehörde binnen 72 Stunden. Zuständig ist in Nordrhein-Westfalen die Landesbeauftragte für Datenschutz und Informationsfreiheit; in anderen Bundesländern die jeweilige Landesbehörde.
Eigentümerlisten und Versammlung
In der Wohnungseigentumsverwaltung taucht regelmäßig die Frage auf, ob die Verwaltung Namen und Anschriften der Eigentümer herausgeben darf. Die Antwort lautet grundsätzlich ja: Ein Eigentümer kann Einsicht in eine Liste der übrigen Eigentümer verlangen, weil er sie benötigt, um seine Rechte auszuüben, etwa um vor einer Versammlung Mehrheiten zu sondieren oder Beschlüsse anzufechten.
Die Liste umfasst Namen und Anschriften sowie die Zuordnung zu den Einheiten. Sie umfasst nicht Telefonnummern, E-Mail-Adressen, Bankverbindungen oder Angaben zu Zahlungsrückständen. Diese Daten dürfen nur mit Einwilligung weitergegeben werden.
Für die Versammlung folgt daraus: Die Anwesenheitsliste enthält Namen und Einheiten. Über Rückstände einzelner Eigentümer wird in der Versammlung nur in dem Umfang gesprochen, in dem die Gemeinschaft es zur Beschlussfassung benötigt, und ohne unnötige Details. Ein Protokoll, das Zahlungsverhalten namentlich ausbreitet, ist angreifbar.
Umsetzung im SPro Manager
Der SPro Manager arbeitet mit Rollen und Rechten: Wer nur die Objektbetreuung übernimmt, sieht keine Bankverbindungen, wer die Buchhaltung führt, sieht keine Bewerbungsunterlagen. Das ist die praktisch wirksamste Maßnahme, weil sie nicht von Disziplin abhängt.
Für die Weitergabe an Handwerker und Dienstleister erzeugt das System einen Auftrag, der nur die für die Aufgabe nötigen Angaben enthält. Dokumente liegen an Objekt, Einheit oder Mietverhältnis; wer sie sucht, findet sie über den Bezug und nicht über eine Ablage, die niemand mehr überblickt.
Für Auskunftsersuchen lassen sich die zu einer Person gespeicherten Daten zusammenstellen. Die inhaltliche Prüfung, was davon herausgegeben wird und was zu schwärzen ist, bleibt eine Entscheidung der Verwaltung. Löschfristen können je Dokumentart hinterlegt werden, sodass fällige Löschungen sichtbar werden, statt in Vergessenheit zu geraten. Das Verzeichnis der Verarbeitungstätigkeiten und die Verträge mit Dienstleistern führen Sie weiterhin selbst; die Software ersetzt sie nicht.