KI & Automatisierung: Rechtliche Leitplanken beim Einsatz von KI in der Verwaltung

Der Satz „der kommende AI Act“ steht noch in vielen Ratgebern. Er stimmt seit zwei Jahren nicht mehr: Die KI-Verordnung ist seit dem 1. August 2024 in Kraft und gilt gestaffelt. Ein Teil ihrer Pflichten trifft Hausverwaltungen schon heute, ein anderer wurde im Sommer 2026 um sechzehn Monate verschoben. Wer weiß, welcher Teil welcher ist, kann KI einsetzen, ohne zu raten.

Zwei Regelwerke, nicht eines

Beim KI-Einsatz in der Verwaltung greifen zwei Regelungen nebeneinander, und sie haben unterschiedliche Anknüpfungspunkte:

• Die DSGVO fragt, ob personenbezogene Daten verarbeitet werden. Sie gilt seit 2018 und ändert sich durch die KI-Verordnung nicht.
• Die KI-Verordnung (VO (EU) 2024/1689) fragt, welches Risiko das System trägt — unabhängig davon, ob Personendaten im Spiel sind.

Ein Werbetext ohne jeden Personenbezug ist datenschutzrechtlich unproblematisch und kann trotzdem eine Kennzeichnungspflicht auslösen. Umgekehrt ist die Analyse einer Mietakte mit einem völlig harmlosen Werkzeug ein Datenschutzthema. Beide Fragen sind getrennt zu prüfen.

Der Zeitplan, Stand heute

Seit / ab	Was gilt
1.8.2024	KI-Verordnung in Kraft
2.2.2025	Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
2.8.2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
2.8.2026	Transparenzpflichten (Art. 50)
2.12.2026	Übergangsfrist für die maschinenlesbare Markierung bei Systemen, die vor dem 2.8.2026 auf dem Markt waren
2.12.2027	Pflichten für Hochrisiko-Systeme nach Anhang III — verschoben vom 2.8.2026
2.8.2028	Hochrisiko-Systeme nach Anhang I

Die Verschiebung stammt aus dem Digital Omnibus zur KI (VO (EU) 2026/1744), im Amtsblatt am 24. Juli 2026 veröffentlicht und seit dem 27. Juli 2026 in Kraft. Er ändert über vierzig Artikel der KI-Verordnung und gibt den Hochrisiko-Anwendern sechzehn Monate mehr Zeit. Die Transparenzpflichten hat er ausdrücklich nicht verschoben.

Die Pflicht, die heute schon jeden trifft

Art. 4 der KI-Verordnung verlangt von jedem Betreiber, dass sein Personal über ausreichende KI-Kompetenz verfügt — angemessen zu Vorkenntnissen, Einsatzkontext und den betroffenen Personen. Diese Pflicht gilt seit dem 2. Februar 2025, unabhängig von der Risikoklasse und unabhängig von der Unternehmensgröße. Wer ChatGPT im Büro nutzt, ist Betreiber.

Sie wird fast überall übersehen, weil sie unspektakulär ist. Erfüllen lässt sie sich mit überschaubarem Aufwand:

• eine schriftliche Nutzungsrichtlinie, die sagt, welche Werkzeuge erlaubt sind und welche Daten hineindürfen
• eine dokumentierte Einweisung des Personals, mit Datum und Teilnehmerliste
• eine benannte verantwortliche Person

Das ist zugleich die Grundlage für alles Weitere — ohne Richtlinie lässt sich keine der folgenden Pflichten sinnvoll organisieren.

Transparenz: seit August 2026

Art. 50 verlangt zweierlei, und beides ist in der Verwaltung schnell einschlägig:

• Offenlegung bei direkter Interaktion. Ein Chatbot auf der Website oder im Mieterportal muss erkennbar machen, dass die Gegenseite mit einer Maschine spricht — es sei denn, das ist aus dem Zusammenhang ohnehin offensichtlich.
• Kennzeichnung KI-erzeugter Inhalte. Synthetisch erzeugte oder veränderte Bild-, Ton- und Videoinhalte sind als solche zu markieren. Für Objektfotos, die mit KI aufgehübscht oder virtuell möbliert wurden, ist das der praktisch wichtigste Fall.

Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, läuft für die maschinenlesbare Markierung eine Übergangsfrist bis zum 2. Dezember 2026.

Wo die Verwaltung in den Hochrisikobereich gerät

Der Regelfall in einer Hausverwaltung — Texte entwerfen, zusammenfassen, sortieren — ist kein Hochrisiko-Einsatz. Es gibt aber eine Ausnahme, und sie liegt ausgerechnet dort, wo KI besonders verlockend wirkt: bei der Auswahl von Mietern.

Anhang III der KI-Verordnung erfasst Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen und zum Zugang zu wesentlichen privaten Dienstleistungen. Ein Werkzeug, das Bewerber automatisch bepunktet oder eine Rangfolge erzeugt, kann darunterfallen. Die Pflichten dafür — Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht — greifen nach der Verschiebung ab dem 2. Dezember 2027.

Zwei Dinge gelten aber schon heute, unabhängig von diesem Datum:

• Art. 22 DSGVO. Eine ausschließlich automatisierte Entscheidung, die eine Person erheblich beeinträchtigt, ist grundsätzlich unzulässig. Die Absage an einen Wohnungsbewerber allein aufgrund eines Scores ist genau dieser Fall — es braucht eine echte menschliche Prüfung, nicht das formale Abnicken eines Vorschlags.
• Das AGG. § 19 AGG verbietet Benachteiligung bei Massengeschäften, wozu die Wohnungsvermietung ab einer gewissen Zahl von Einheiten zählt. Ein Modell, das aus historischen Daten lernt, reproduziert die Muster dieser Daten — auch die diskriminierenden. Die Beweislast trifft im Streitfall den Vermieter.

Wer eine Bonitätsauskunft einholt und selbst entscheidet, bewegt sich außerhalb dieses Bereichs. Wer die Entscheidung dem Werkzeug überlässt, nicht.

Datenschutz: die drei Fragen vor dem ersten Prompt

Gibt es eine Rechtsgrundlage und passt der Zweck?

Mieterdaten wurden zur Durchführung des Mietverhältnisses erhoben (Art. 6 Abs. 1 lit. b DSGVO). Der Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b) erlaubt nicht, sie ohne Weiteres für eine allgemeine Auswertung zu verwenden. Ein Mietvertrag, den man zur Prüfung einer Klausel hochlädt, bleibt dagegen im ursprünglichen Zweck.

Steht ein Auftragsverarbeitungsvertrag?

Verarbeitet der Anbieter Daten weisungsgebunden, braucht es einen Vertrag nach Art. 28 DSGVO. Die großen Anbieter stellen ihn bereit — meist aber nur in den Geschäfts- und Unternehmenstarifen, nicht im kostenlosen Zugang. Das ist der praktische Unterschied zwischen „wir nutzen ChatGPT“ und „wir nutzen ChatGPT rechtmäßig“.

Ebenso wichtig: In den Geschäftstarifen werden Eingaben in der Regel nicht zum Modelltraining verwendet, in den Privatzugängen je nach Einstellung schon. Das ist eine Einstellung, die man prüft und dokumentiert, keine Annahme.

Wohin fließen die Daten?

Für Anbieter in den USA trägt derzeit der EU-US Data Privacy Framework, sofern der Anbieter darunter zertifiziert ist; der Angemessenheitsbeschluss von 2023 wurde im September 2025 vom Gericht der EU bestätigt. Eine weitere Klage ist beim Europäischen Gerichtshof anhängig. Wer sich absichern will, vereinbart zusätzlich Standardvertragsklauseln — dann steht die Übermittlung auch dann noch, wenn der Beschluss fallen sollte. Alternativ gibt es Anbieter mit Verarbeitung ausschließlich in der EU.

Was sich ohne Prüfung sofort nutzen lässt

Der einfachste Weg zu einem rechtlich sauberen Einsatz führt über den Datenbestand, nicht über das Werkzeug:

• Vorlagen erzeugen statt Einzelfälle bearbeiten. Ein Musterschreiben mit Platzhaltern enthält keine Personendaten; Namen und Beträge trägt man danach selbst ein.
• Anonymisieren, bevor etwas hineingeht. „Mieter A, Wohnung im zweiten Obergeschoss“ statt Name und Anschrift.
• Internes Wissensmanagement — Checklisten, Prozessbeschreibungen, Einarbeitungsunterlagen. Vollständig unkritisch.
• Recherche mit Gegenprobe. Sprachmodelle erfinden Aktenzeichen und Fristen, die plausibel aussehen. Jede Norm und jedes Urteil gehört an der Quelle nachgeschlagen, bevor es in ein Schreiben wandert.

Der letzte Punkt ist kein Formalismus. Eine falsche Frist in einer Betriebskostenabrechnung kostet die Nachforderung, eine falsche Rechtsauskunft gegenüber dem Mieter kann eine Haftung begründen. Für die wiederkehrenden Rechenaufgaben sind deterministische Werkzeuge ohnehin die bessere Wahl — der Kautionszinsrechner und der Mieterhöhungsrechner rechnen nach festen Regeln und halluzinieren nicht.

Welche Werkzeuge am Markt sind, was sie kosten und welche der hier genannten Punkte je Anbieter zu klären sind, steht im Vergleich der KI-Tools für die Hausverwaltung.

Die kurze Fassung

1. Nutzungsrichtlinie schreiben und Personal einweisen — das ist seit Februar 2025 Pflicht, nicht Kür.
2. Für jedes Werkzeug klären: Auftragsverarbeitungsvertrag vorhanden, Training abgeschaltet, Serverstandort bekannt.
3. Keine Personendaten ohne diese Klärung, im Zweifel anonymisieren.
4. Chatbot und KI-erzeugte Bilder kennzeichnen.
5. Keine Auswahlentscheidung dem System überlassen — Art. 22 DSGVO und AGG gelten heute, das Hochrisiko-Regime kommt am 2. Dezember 2027 dazu.
6. Jede rechtliche Aussage an der Quelle prüfen.

Quellen

1. Verordnung (EU) 2024/1689 – KI-Verordnung (AI Act)eur-lex.europa.eu
2. Verordnung (EU) 2026/1744 – Digital Omnibus zur KIeur-lex.europa.eu
3. Art. 22 DSGVO – Automatisierte Entscheidungen im Einzelfalldsgvo-gesetz.de
4. Art. 28 DSGVO – Auftragsverarbeiterdsgvo-gesetz.de
5. Art. 5 DSGVO – Grundsätze der Verarbeitung (Zweckbindung)dsgvo-gesetz.de
6. § 19 AGG – Zivilrechtliches Benachteiligungsverbotgesetze-im-internet.de