Im Ernstfall zählt der Nachweis: Rechenschaftspflicht bei KI im Immobilienbüro

Wenn eine Aufsichtsbehörde oder Ihre Datenschutzbeauftragte nachfragt, zählt nicht, was Sie versprochen haben, sondern was Sie belegen können. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung der Datenschutzgrundsätze nachweisen. Praktisch heißt das: dokumentierte Prozesse, ein Verarbeitungsprotokoll und im besten Fall ein manipulationserkennender Audit-Trail, den Sie DSB oder Aufsicht vorlegen können. Dieser Beitrag zeigt, was das für den KI-Einsatz im Immobilienbüro konkret bedeutet.

Was verlangt die Rechenschaftspflicht?

Art. 5 Abs. 2 DSGVO dreht die Beweislast um: Sie müssen nicht nur rechtmäßig verarbeiten, Sie müssen es auch zeigen können. Für den KI-Einsatz heißt das, dass folgende Fragen jederzeit beantwortbar sein sollten: Welche Daten wurden verarbeitet? Auf welcher Rechtsgrundlage? Was ging an welches KI-System — als Klartext oder als Platzhalter? Wer hat das freigegeben? Ohne belastbare Antworten steht im Zweifel Aussage gegen Aktenlage, und die Aktenlage gewinnt.

Warum reicht ein gutes Werkzeug allein nicht?

Ein Tool, das Originalangaben pseudonymisiert, reduziert das Risiko erheblich — aber die Rechenschaftspflicht fragt nach dem Nachweis, dass es im konkreten Vorgang auch so passiert ist. Deshalb ist ein Verarbeitungsprotokoll wertvoll: Es hält fest, welche personenbezogenen Stellen erkannt, wie sie geschützt und wann die echten Werte lokal wieder eingesetzt wurden. Ein manipulationserkennender Audit-Trail (etwa eine Hash-Kette) macht daraus einen Beleg, dem man ansieht, ob nachträglich daran gedreht wurde.

porthor erzeugt genau das: einen Verarbeitungsnachweis mit Hash-Kette, den Sie als PDF für Chef, DSB oder Prüfung exportieren können. Wie der vollständige Ablauf aussieht, steht im kompletten Leitfaden.

Wie hängt das mit dem AI Act zusammen?

Der AI Act erwartet seit dem 2. Februar 2025 (Art. 4), dass Unternehmen nach besten Kräften für ausreichende KI-Kompetenz ihrer Leute sorgen — eine Schulungspflicht mit Zertifikat ist das ausdrücklich nicht. Was in der Praxis zusammenpasst: Wer seine KI-Prozesse ohnehin dokumentiert, erfüllt damit auch die Kompetenz-Erwartung nachvollziehbar. Eine interne Runde plus eine schriftliche Leitlinie, wie mit Kundendaten und KI umzugehen ist, schlägt zwei Fliegen mit einer Klappe. Mehr dazu im Beitrag AI Act für Immobilienprofis und im Glossar unter AI Act.

Was steht bei Verstößen auf dem Spiel?

Der Bußgeldrahmen der DSGVO reicht nach Art. 83 bis 20 Mio. € oder 4 % des Jahresumsatzes. Entscheidend im Verfahren ist regelmäßig, ob der Verantwortliche seine Sorgfalt belegen kann — dokumentierte Prozesse und ein Audit-Trail wirken hier strafmildernd, ihr Fehlen verschärfend. Wie ernst Mieterdaten genommen werden, zeigt der Fall Deutsche Wohnen, aufbereitet in ChatGPT in der Hausverwaltung: die rote Linie.

Was heißt das konkret für Ihr Büro?

Behandeln Sie Nachweis nicht als Bürokratie, sondern als Versicherung. Drei Dinge genügen als Fundament: eine schriftliche Leitlinie zum KI-Umgang, ein Protokoll über die tatsächliche Verarbeitung und ein manipulationserkennender Beleg pro Vorgang. Wer lokal pseudonymisiert und dabei automatisch protokolliert, hat den Nachweis bereits in der Hand, bevor jemand danach fragt.