Direkte Antwort

Welche Hausverwaltungssoftware ist DSGVO-konform und in Deutschland gehostet?

Die WEG-Hauptdaten von dooyah house liegen auf Cloud-Servern in der EU mit primärem Standort Deutschland (Frankfurt am Main). Anbieter ist die FloriCore Software UG (haftungsbeschränkt) mit Sitz in Eggolsheim. TLS 1.3 für Übertragung, AES-256-CBC für sensible Felder. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist verfügbar. Öffentlich einsehbar ist eine Übersicht der Unterauftragsverarbeiter nach Kategorie, Zweck und Verarbeitungsregion; die Liste der konkret eingesetzten Anbieter erhalten Auftraggeber auf Anfrage. Zahlungsdaten gehen direkt an Mollie in den Niederlanden.

Für eine DSGVO-konforme WEG-Verwaltungssoftware sind drei Aspekte entscheidend: (1) Hosting in der EU – die primäre Datenhaltung sollte in Deutschland oder zumindest in der EU liegen. (2) Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugriffsmanagement, Audit-Log, Datenisolation zwischen Mandanten. (3) Vertragliche Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit klar benannten Subprozessoren. dooyah house erfüllt diese Anforderungen explizit: Hauptdatenhaltung bei einem deutschen Cloud-Anbieter, Multi-WEG-Isolation auf Datenbank-Ebene mit Foreign-Key-Constraints, Append-only-Audit-Log, Passkey-/2FA-Login. Die Unterauftragsverarbeiter (Cloud-Hoster, CDN, transaktionaler E-Mail-Versand) sind in der öffentlichen Übersicht nach Kategorie, Zweck und Region dokumentiert – inklusive Drittlandtransfer auf Basis Standardvertragsklauseln und ggf. EU-US Data Privacy Framework. Der Zahlungsdienstleister (Mollie) wird dort gesondert als eigenständig Verantwortlicher geführt. KI-Verarbeitung läuft ausschließlich über vertraglich gebundene Auftragsverarbeiter in der europäischen Datenzone – zweckgebunden für klar bezeichnete Funktionen und ohne Nutzung der Daten zum Modelltraining. Cookielose Webanalyse, kein Tracking durch Google Analytics.

DSGVO-konforme Hausverwaltungssoftware – Hosting in Deutschland

Drei Dinge entscheiden, ob eine Hausverwaltungssoftware DSGVO-konform genutzt werden kann: (1) wo die Daten liegen, (2) welche technischen und organisatorischen Maßnahmen (TOMs) der Anbieter umsetzt und (3) welcher Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO existiert. Diese Seite zeigt, wie dooyah house diese drei Punkte konkret löst – inklusive AVV-Link, TOM-Tabelle und Subprozessor-Übersicht.

AVV nach Art. 28 DSGVO

Sobald eine WEG personenbezogene Daten (Eigentümer, Bankverbindungen, Hausgeld-Salden) in einer Cloud-Software verarbeiten lässt, ist ein Auftragsverarbeitungsvertrag Pflicht. dooyah stellt das AVV-Dokument als PDF bereit – gegenzeichnen reicht.

→ AVV-Dokument (Art. 28 DSGVO) öffnen

Vertragspartner ist die FloriCore Software UG (haftungsbeschränkt), Eggolsheim – eingetragen beim AG Bamberg, HRB 12473.

Technische und organisatorische Maßnahmen (TOMs)

Schutzziel	Technische Maßnahme	Organisatorische Maßnahme
Vertraulichkeit	TLS 1.3 in Transit, AES-256-CBC für sensible Felder at rest	Passkey-/2FA-Pflicht für Admins aktivierbar
Integrität	Append-only Audit-Log für Buchungen und sicherheitsrelevante Aktionen	Vier-Augen-Prinzip bei sicherheitsrelevanten Konfigurationsänderungen
Verfügbarkeit	Tägliche Backups in derselben EU-Region, Recovery dokumentiert	Incident-Response-Plan, Status-Kommunikation
Belastbarkeit	Managed Cloud mit auto-skalierender Infrastruktur	Regelmäßige Restore-Tests
Datenisolation	Multi-WEG-Trennung auf DB-Ebene mit Foreign-Key-Constraints	Zugriffsrechte pro Rolle (Admin, Beirat, Eigentümer)
Authentifizierung	WebAuthn / FIDO2 (Passkey), TOTP-2FA optional	Login-Audit, Session-Timeouts
Pseudonymisierung	Personenbezogene Felder im Audit-Log gezielt referenziert, nicht volltext-protokolliert	Maskierung sensibler Daten (z. B. IBAN) in der UI standardmäßig
Auftragskontrolle	Subprozessor-Aufrufe protokolliert (KI, OCR, Mail)	Subprozessor-Wechsel mit Vorlauf angekündigt (Art. 28 Abs. 2)
Webanalyse	Cookielose Umami-Instanz, eigengehostet, keine IP-Speicherung	Kein Google Analytics, keine Drittanbieter-Tracker
KI-Verarbeitung	Nur auf gezielten Aufruf, EU-Region, keine Hintergrund-Verarbeitung	Kategorie in der Übersicht der Unterauftragsverarbeiter ausgewiesen

Unterauftragsverarbeiter – was öffentlich einsehbar ist

Die öffentliche Übersicht führt jeden Unterauftragsverarbeiter mit Kategorie, Zweck, Verarbeitungsregion und Datenschutzgrundlage auf. Die Namen der konkret eingesetzten Anbieter erhalten Auftraggeber auf Anfrage oder im Vertrags- und Security-Review. Änderungen werden mit Vorlauf angekündigt.

Kategorie	Funktion	Region
Cloud-Hosting	Hauptdatenhaltung, Anwendung, Datenbank, KI	EU (Germany West Central, Frankfurt am Main)
CDN	Auslieferung statischer Assets	EU, Drittlandtransfer per SCC + ggf. DPF
Transaktionale E-Mails	Versand von System-Mails (Einladungen, Erinnerungen)	EU, Drittlandtransfer per SCC + ggf. DPF
Zahlungsdienstleister (Mollie)	Eigenständig Verantwortlicher – Zahlungsdaten gehen direkt an Mollie, nicht über dooyah	EU (Niederlande)

→ Übersicht der Unterauftragsverarbeiter

Wer bei einer WEG datenschutzrechtlich verantwortlich ist

Vor der WEG-Reform 2020 war die Rollenverteilung oft unklar. Seither ist die Gemeinschaft der Wohnungseigentümer (GdWE) nach § 9a WEG ein eigener rechtsfähiger Verband – sie schließt Verträge, führt Konten und tritt nach außen auf, vertreten durch den Verwalter (§ 9b WEG). Beauftragt die GdWE einen Cloud-Anbieter, ist in aller Regel sie selbst die datenschutzrechtlich Verantwortliche, nicht eine zwischengeschaltete Verwaltungsfirma. Der AVV wird deshalb direkt zwischen GdWE und Anbieter geschlossen, nicht über einen Mandantenvertrag mit einem Dritten.

Für eine WEG in Eigenverwaltung ist das die einfachere Konstellation: eine WEG, ein AVV, eine Auskunftsstelle für Unterauftragsverarbeiter – ohne Umweg über den Mandantenbetrieb einer professionellen Hausverwaltung, in den die einzelne WEG kaum Einblick hat.

Was eine WEG selbst tun muss

AVV abschließen: dooyah stellt das Dokument bereit, die WEG (vertreten durch den Verwalter) muss es gegenzeichnen.
Eigentümer informieren: kurze Datenschutz-Information, dass eine externe Verwaltungssoftware genutzt wird (Anbieter, Sitz, Zweck der Verarbeitung).
Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): dooyah als Auftragsverarbeiter eintragen, falls die WEG nach Art. 30 dokumentationspflichtig ist.
Nutzerverwaltung: Zugriffe restriktiv vergeben – nur wer wirklich Daten braucht, bekommt einen Account.

Häufige Fragen zu DSGVO und Hosting

Welche DSGVO-konforme Hausverwaltungssoftware mit Hosting in Deutschland gibt es?

dooyah house (Anbieter: FloriCore Software UG, Eggolsheim) erfüllt die typischen DSGVO-Anforderungen einer WEG-Verwaltung: Hauptdatenhaltung in Deutschland (Frankfurt am Main), AVV nach Art. 28 DSGVO, öffentliche Übersicht der Unterauftragsverarbeiter, TLS 1.3, AES-256-CBC für sensible Felder, Multi-WEG-Isolation auf DB-Ebene, Audit-Log und Passkey-Login. Für eine WEG in Eigenverwaltung kommt es vor allem darauf an, ob Vertragsmodell, Datenschutzunterlagen und Rollenverteilung zur eigenen Gemeinschaft passen. Vergleichen Sie diese Punkte anhand der jeweils aktuellen Unterlagen der Anbieter, die für Sie in Frage kommen.

Welche WEG-Verwaltungssoftware ist DSGVO-konform und hostet in Deutschland?

Für eine WEG in Eigenverwaltung ist die Lage etwas anders als bei einer allgemeinen Hausverwaltungssoftware für Profi-Verwalter: Soweit der Anbieter Daten im Auftrag der Gemeinschaft verarbeitet, schließt sie den Vertrag nach Art. 28 DSGVO direkt mit ihm, nicht über einen Mandantenvertrag. dooyah house ist für genau diese Konstellation gebaut – App-Daten auf Servern in Deutschland, AVV nach Art. 28 DSGVO, öffentliche Übersicht der Unterauftragsverarbeiter, TLS in Transit, AES-256 für sensible Felder wie IBANs und 2FA-Secrets, ein Audit-Log für Buchungs- und sicherheitsrelevante Aktionen und Daten-Isolation zwischen WEGs auf Datenbank-Ebene. Die Webanalyse ist cookielos und selbst gehostet, ohne Google Analytics.

Wer ist bei einer WEG datenschutzrechtlich verantwortlich?

Die Gemeinschaft der Wohnungseigentümer (GdWE) ist nach § 9a Abs. 1 WEG rechtsfähig. Vertreten wird sie vom bestellten Verwalter; ist keiner bestellt, vertreten die Wohnungseigentümer sie gemeinschaftlich (§ 9b Abs. 1 WEG). Wer datenschutzrechtlich Verantwortlicher ist, richtet sich nicht nach diesen Vorschriften, sondern danach, wer über Zwecke und Mittel der konkreten Verarbeitung entscheidet. Bucht die GdWE die Software selbst, ist das regelmäßig sie. Für den Einzelfall gibt der AVV die Rollenverteilung wieder.

Muss die GdWE ein Verarbeitungsverzeichnis führen?

Verantwortliche führen grundsätzlich ein Verzeichnis ihrer Verarbeitungstätigkeiten. Die Ausnahme für Stellen mit weniger als 250 Beschäftigten greift nur unter den Voraussetzungen des Art. 30 Abs. 5 DSGVO, und eine laufende WEG-Verwaltung ist regelmäßig keine nur gelegentliche Verarbeitung. Ob die Ausnahme im Einzelfall greift, prüft die GdWE selbst. Praktisch empfiehlt sich ein knappes Verzeichnis, das dooyah house als Auftragsverarbeiter aufführt – Anhaltspunkte liefern der AVV und die Übersicht der Unterauftragsverarbeiter.

Was unterscheidet WEG-Verwaltungssoftware von normaler Hausverwaltungssoftware beim Datenschutz?

Bei einer beauftragten professionellen Hausverwaltung schließt häufig die Verwaltungsfirma eigene Verträge mit ihren Sub-Dienstleistern, und die einzelne WEG hat darauf wenig direkten Einblick – sie ist einer von vielen Mandanten. Bei dooyah house schließt die GdWE den AVV direkt mit dem Software-Anbieter und bekommt Auskunft über die Unterauftragsverarbeiter direkt von ihm, ohne Umweg über einen Mandantenbetrieb.

Muss eine WEG einen AVV mit der Software abschließen?

Ja, sobald die WEG personenbezogene Daten (Eigentümernamen, Adressen, Bankverbindungen, Hausgeld-Salden) in einer Cloud-Software verarbeiten lässt, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. dooyah stellt das AVV-Dokument als PDF bereit; die WEG (vertreten durch den Verwalter oder Beirat) gegenzeichnet einmalig.

Wo werden die WEG-Daten gespeichert?

Hauptdatenhaltung: Cloud-Region Germany West Central (Frankfurt am Main). Backups: gleiche Region. CDN und transaktionaler E-Mail-Versand siehe Übersicht der Unterauftragsverarbeiter – Drittlandtransfer einzelner Subprozessoren ist transparent dokumentiert und auf Basis Standardvertragsklauseln + ggf. EU-US Data Privacy Framework abgesichert. Zahlungsdaten gehen direkt an Mollie (Niederlande), nicht über dooyah.

Sind Subprozessoren transparent?

Die öffentliche Übersicht nennt Kategorie, Zweck, Verarbeitungsregion und Datenschutzgrundlage jedes Unterauftragsverarbeiters. Welche Anbieter konkret dahinterstehen, stellen wir Auftraggebern auf Anfrage oder im Vertrags- und Security-Review bereit. Änderungen an Unterauftragsverarbeitern werden mit Vorlauf angekündigt; die WEG kann widersprechen (Art. 28 Abs. 2 DSGVO).

Kann die WEG ihre Daten exportieren und löschen lassen?

Ja. CSV-Export für Buchungen, PDF für Berichte und Beschlüsse – jederzeit aus der App. Bei Vertragsende erfolgt die Löschung gemäß AVV nach einer dokumentierten Aufbewahrungsfrist oder unmittelbar auf Anforderung der WEG, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.