Datenschutz in der WEG: Welche Daten die Gemeinschaft verarbeiten darf und wer sie sehen darf

Verantwortlich für den Datenschutz ist in einer Eigentümergemeinschaft nicht der Verwalter, sondern die Gemeinschaft selbst. Sie kann Rechte erwerben und Verbindlichkeiten eingehen (§ 9a Abs. 1 Satz 1 WEG) und entscheidet über die Zwecke und Mittel der Verarbeitung, womit sie unter die Begriffsbestimmung des Art. 4 Nr. 7 DSGVO fällt. Eine Einwilligung der Eigentümer braucht sie dafür in aller Regel nicht: Hausgeldbuchhaltung, Einladung, Niederschrift und Abrechnung beruhen auf rechtlichen Verpflichtungen aus dem Wohnungseigentumsgesetz und damit auf Art. 6 Abs. 1 Buchst. c DSGVO. Die Grenze zieht deshalb weniger das Datenschutzrecht als die Frage, wofür das Wohnungseigentumsgesetz die Daten überhaupt verlangt.

Wer ist in der Wohnungseigentümergemeinschaft die verantwortliche Stelle?

Die Verwaltung des gemeinschaftlichen Eigentums obliegt der Gemeinschaft der Wohnungseigentümer (§ 18 Abs. 1 WEG). Sie beschäftigt den Verwalter, sie führt das Konto, sie ist Vertragspartnerin der Versicherer und Dienstleister. Entscheidet sie über Zwecke und Mittel der Verarbeitung, ist sie Verantwortliche nach Art. 4 Nr. 7 der Verordnung (EU) 2016/679, die seit dem 25. Mai 2018 unmittelbar gilt.

Ein bestellter Verwalter handelt im Rahmen des Amtes und der gesetzlichen Befugnisse des § 27 Abs. 1 WEG. Ob er dabei als Auftragsverarbeiter oder als eigener Verantwortlicher einzuordnen ist, hängt davon ab, wie viel eigenen Entscheidungsspielraum er tatsächlich hat; die Einordnung ist eine Einzelfallfrage und gehört vor Vertragsschluss geklärt. Was in eine solche Vereinbarung sonst noch hineingehört, beschreibt der Beitrag zum Verwaltervertrag.

Eindeutiger liegt der Fall bei einer Software. Wer Buchhaltung, Beschlüsse und Belege einer Gemeinschaft auf fremden Servern verarbeitet, tut das im Auftrag, und dafür verlangt Art. 28 Abs. 3 DSGVO einen Vertrag mit festgelegtem Inhalt, darunter die Pflicht, nach Abschluss der Leistungen alle Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (Buchst. g). Worauf es bei der Auswahl sonst ankommt, ordnet der Beitrag zur Software für die WEG-Selbstverwaltung ein.

Verwaltet die Gemeinschaft sich selbst, ändert sich an der Verantwortlichkeit nichts. Sie bleibt bei der Gemeinschaft, auch wenn gar kein Verwalter bestellt ist; dann führt der Vorsitzende der Versammlung die Beschluss-Sammlung, sofern die Eigentümer niemanden anderen dafür bestellt haben (§ 24 Abs. 8 Satz 2 WEG). Die Rechtslage dieses Zustands behandelt der Beitrag zur WEG ohne Verwalter.

Auf welcher Rechtsgrundlage darf eine WEG Daten verarbeiten?

Jede Verarbeitung braucht eine der Bedingungen des Art. 6 Abs. 1 DSGVO. Für den Alltag einer Gemeinschaft liefert das Wohnungseigentumsgesetz den größten Teil davon gleich mit.

Die letzten beiden Zeilen tragen die eigentliche Arbeit. Wo das Gesetz eine Pflicht formuliert, ist die Rechtsgrundlage mitgeliefert und die Verarbeitung zulässig, solange sie sich auf den dort genannten Zweck beschränkt. Wo es schweigt, muss die Gemeinschaft abwägen, und zwar vor der Verarbeitung: Art. 6 Abs. 1 Buchst. f DSGVO verlangt, dass die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Wer eine Kamera auf eine Gemeinschaftsfläche richtet, beobachtet dauerhaft alle Bewohner wegen eines Vorfalls, der einen Einzelnen betraf — diese Abwägung fällt nicht von selbst zugunsten der Gemeinschaft aus.

Welche Fristen und Beträge stehen im Gesetz?

Die folgenden Werte stammen aus der Datenschutz-Grundverordnung in ihrer seit dem 25. Mai 2018 geltenden Fassung und aus dem Bundesdatenschutzgesetz. Sie sind die einzigen festen Zahlen, an denen sich eine Gemeinschaft hier orientieren kann.

Zwei Zeilen werden regelmäßig falsch gelesen. Die 250 Beschäftigten befreien eine Gemeinschaft nur auf den ersten Blick vom Verarbeitungsverzeichnis: Art. 30 Abs. 5 DSGVO nimmt die Ausnahme zurück, sobald die Verarbeitung ein Risiko birgt, besondere Datenkategorien betrifft oder, und darauf kommt es hier an, nicht nur gelegentlich erfolgt. Eine laufende Hausgeldbuchhaltung erfolgt nicht gelegentlich, sodass die Pflicht in aller Regel bestehen bleibt. Das Verzeichnis ist schriftlich zu führen, elektronisch genügt (Art. 30 Abs. 3 DSGVO).

Die 20 Personen aus § 38 Abs. 1 Satz 1 BDSG erreicht eine Wohnungseigentümergemeinschaft dagegen praktisch nie, denn gezählt werden Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind, nicht die Zahl der Wohnungen. Eine Datenschutzbeauftragte muss eine Gemeinschaft deshalb meist nicht benennen. Von den übrigen Pflichten befreit sie das nicht.

Dürfen die Nachbarn sehen, wer Hausgeld schuldet?

Innerhalb der Gemeinschaft ist die Antwort überwiegend ja, außerhalb nein. Jeder Wohnungseigentümer kann Einsicht in die Verwaltungsunterlagen verlangen (§ 18 Abs. 4 WEG), und die Jahresabrechnung nach § 28 Abs. 2 WEG lässt sich ohne die Einzelabrechnungen der anderen Einheiten gar nicht prüfen. Wie weit dieses Einsichtsrecht im Einzelfall reicht, wenn es um offene Beträge eines bestimmten Eigentümers geht, ist allerdings nicht pauschal zu beantworten und sollte bei einem Streit anwaltlich geprüft werden. Den Ablauf der Eintreibung selbst beschreibt der Beitrag zu den Hausgeldrückständen, und was in der Abrechnung stehen muss, der Beitrag zur Jahresabrechnung.

Deutlich enger ist der Rahmen, sobald die Information das Haus verlässt. Ein Aushang im Treppenhaus erreicht Mieter, Handwerker und Besucher, für die es keinen Zweck aus dem Wohnungseigentumsgesetz gibt. Dasselbe gilt für Rundmails an alle Eigentümer mit offenem Verteiler, für Gruppenchats und für Namen in Unterlagen, die an Kaufinteressenten weitergereicht werden. Welche Unterlagen beim Verkauf einer Wohnung tatsächlich eine Rolle spielen, trennt der Beitrag zum Eigentümerwechsel auf.

Zur Versammlung selbst schreibt das Gesetz wenig vor. Eine Teilnehmerliste verlangt § 24 Abs. 6 WEG nicht; aufzunehmen ist eine Niederschrift über die gefassten Beschlüsse. Die Beschluss-Sammlung enthält nach § 24 Abs. 7 Satz 2 WEG ausdrücklich „nur den Wortlaut“ der Beschlüsse, der schriftlichen Beschlüsse und der Urteilsformeln. Alles, was darüber hinaus an Namen und Einzelheiten hineingeschrieben wird, steht dort ohne gesetzlichen Auftrag. Wie eine Niederschrift sauber aufgebaut wird, zeigt der Beitrag zum Protokoll der Eigentümerversammlung; der Ablauf der Versammlung steht im Beitrag zur Eigentümerversammlung.

Was eine Gemeinschaft konkret regeln sollte

Die folgenden Punkte kosten wenig Zeit und entschärfen die meisten Streitfälle, bevor sie entstehen.

• Verzeichnis der Verarbeitungstätigkeiten anlegen, mit Zwecken, Datenkategorien, Empfängern und Löschfristen nach Art. 30 Abs. 1 DSGVO; eine Tabelle genügt.
• Für jede Software und jeden Messdienst prüfen, ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO vorliegt und was bei Vertragsende mit den Daten geschieht.
• Einen Verteiler ohne offene Empfängerliste verwenden und E-Mail-Adressen anderer Eigentümer nur mit deren Einverständnis weitergeben.
• Festlegen, wer Zugriff auf Konto, Buchhaltung und Unterlagen hat, und den Zugang beim Wechsel im Amt sofort ändern. Welche Rolle der Beirat dabei hat, beschreibt der Beitrag zum Verwaltungsbeirat.
• Löschfristen notieren, orientiert an den Aufbewahrungspflichten der Unterlagen, und Altbestände tatsächlich löschen.
• Vor einer Kamera auf Gemeinschaftsflächen die Abwägung schriftlich festhalten und den Beschluss darüber sauber bezeichnen (§ 23 Abs. 2 WEG).
• Einen Ablauf für Auskunftsverlangen festlegen, damit die Monatsfrist des Art. 12 Abs. 3 DSGVO eingehalten wird.
• Eine Zuständigkeit für den Fall benennen, dass Unterlagen oder ein Laptop abhandenkommen, denn dann laufen die 72 Stunden des Art. 33 Abs. 1 DSGVO.

Die betreute Selbstverwaltung mit dotega setzt genau an dieser Liste an: Beschlüsse, Belege, Abrechnungen und der Zahlungsverkehr liegen an einer Stelle, auf die alle Eigentümer der eigenen Gemeinschaft Zugriff haben, statt in verteilten Mailpostfächern, und für die Verarbeitung im Auftrag besteht ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO. Wie das im Alltag abläuft, zeigt die Seite So funktioniert’s.

Wo der Datenschutz in der Selbstverwaltung unbequem wird

Die ehrlichste Schwachstelle ist die Person, die das Amt führt. Sie nutzt denselben Rechner wie für private Dinge, speichert Abrechnungen im Downloads-Ordner und verschickt Einladungen aus dem eigenen Mailkonto. Art. 32 DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen, und ein privater Laptop ohne Festplattenverschlüsselung erfüllt das nur schwer. Die Haftungsfolgen eines Fehlers ordnet der Beitrag zur Haftung in der Selbstverwaltung nach Ebenen.

Der zweite Punkt ist der Wechsel im Amt. Scheidet ein Verwalter aus, bleiben Daten auf Geräten und in Postfächern liegen, für die es keinen Zweck mehr gibt. Bei einer Auftragsverarbeitung regelt das Art. 28 Abs. 3 Buchst. g DSGVO, bei einem Eigentümer, der das Amt abgibt, niemand. Ein Beschluss über Rückgabe und Löschung gehört deshalb in die Übergabe; wie die insgesamt abläuft, steht im Beitrag zum Verwalterwechsel.

Der dritte Punkt ist das Geld. Jede Person, der durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist, hat nach Art. 82 Abs. 1 DSGVO Anspruch auf Schadenersatz gegen den Verantwortlichen, und der Verantwortliche wird nur frei, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist (Abs. 3). Gegenüber Gläubigern der Gemeinschaft haftet jeder Wohnungseigentümer anteilig nach seinem Miteigentumsanteil (§ 9a Abs. 4 Satz 1 WEG). Ob und in welcher Höhe eine Versicherung einen solchen Fall deckt, ist mit dem Versicherer zu klären und lässt sich pauschal nicht sagen.

Der vierte Punkt betrifft kleine Häuser. In einer Gemeinschaft aus vier Parteien weiß ohnehin jeder, wer was zahlt, und formale Verteiler wirken übertrieben. Rechtlich gilt die Verordnung trotzdem, denn eine Bagatellgrenze nach Hausgröße kennt sie nicht. Wie sich Größe und Pflichtenkatalog sonst zueinander verhalten, behandelt der Beitrag zur Größe der Selbstverwaltung.

Häufig gestellte Fragen

Braucht eine WEG einen Datenschutzbeauftragten?

In aller Regel nicht. § 38 Abs. 1 Satz 1 BDSG verlangt die Benennung erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; die Fälle des Art. 37 Abs. 1 DSGVO betreffen Behörden sowie Kerntätigkeiten mit umfangreicher Überwachung oder besonderen Datenkategorien. Beides trifft auf eine Wohnungseigentümergemeinschaft im Normalfall nicht zu.

Darf der Verwalter meine E-Mail-Adresse an andere Eigentümer geben?

Das Wohnungseigentumsgesetz enthält dazu keine Pflicht, sodass eine Weitergabe eine eigene Rechtsgrundlage braucht. Der sichere Weg ist, vorher zu fragen und einen Verteiler zu nutzen, bei dem die Empfänger einander nicht sehen. Das gilt auch für Telefonnummern und für Gruppenchats.

Muss eine Teilnehmerliste in das Protokoll?

§ 24 Abs. 6 WEG verlangt eine Niederschrift über die gefassten Beschlüsse und deren Unterzeichnung, keine Anwesenheitsliste. Für den Nachweis der Beschlussfähigkeit und der Vertretung durch Vollmacht in Textform (§ 25 Abs. 3 WEG) ist eine Liste praktisch sinnvoll; sie gehört dann zu den Verwaltungsunterlagen und nicht in die Beschluss-Sammlung.

Ist eine Kamera im Hausflur erlaubt?

Es gibt dafür keine pauschale Antwort. Zulässig ist eine Aufzeichnung nur, wenn die berechtigten Interessen der Gemeinschaft überwiegen (Art. 6 Abs. 1 Buchst. f DSGVO), was eine dokumentierte Abwägung im Einzelfall voraussetzt, dazu einen Beschluss mit sauber bezeichnetem Gegenstand (§ 23 Abs. 2 WEG). Attrappen und Dauerbetrieb ohne konkreten Anlass sind die häufigsten Streitpunkte.

Wie lange darf eine WEG Unterlagen aufbewahren?

Eine eigene Frist nennt die Verordnung nicht; maßgeblich ist, wie lange der Zweck fortbesteht und welche gesetzlichen Aufbewahrungspflichten für die jeweilige Unterlage gelten. Die vorgesehenen Löschfristen gehören nach Art. 30 Abs. 1 Satz 2 Buchst. f DSGVO ins Verarbeitungsverzeichnis, wenn sie sich angeben lassen.

Der Zweck steht im WEG, die Regeln stehen in der Verordnung

Wer den Datenschutz in einer Gemeinschaft als zusätzliche Last liest, arbeitet doppelt. Die meisten Verarbeitungen, über die gestritten wird, hat das Wohnungseigentumsgesetz bereits angeordnet, und mit der Pflicht kommt die Rechtsgrundlage. Heikel sind die Vorgänge, für die sich im Gesetz kein Zweck findet: der Aushang, die Kamera, der offene Verteiler, der Datenbestand auf dem Rechner eines Eigentümers, der sein Amt längst abgegeben hat.

Zwei Schritte bringen eine Gemeinschaft weit. Der erste ist ein Verzeichnis, das in einer Tabelle festhält, welche Daten wofür gespeichert werden und wann sie verschwinden. Der zweite ist die Entscheidung, Unterlagen an einer Stelle zu führen, auf die jeder Berechtigte zugreifen kann, statt sie per Mail zu verteilen. Beides lässt sich in einer Versammlung beschließen und kostet weniger Zeit als der erste ernsthafte Streit darüber, wer wessen Zahlen gesehen hat.

Tobias Krämer

Fachautor für WEG-Recht

Foto: Symbolbild

Fragen zu diesem Thema beantwortet Ihr fester Ansprechpartner — werktags innerhalb von 24 Stunden. So funktioniert die Betreuung →