DSGVO für Immobilienmakler in Deutschland

In einem Satz. Immobilienmakler verarbeiten umfangreiche Personendaten von Interessenten, Mietern und Käufern unter den Pflichten der DSGVO, der MaBV (Makler- und Bauträgerverordnung), des GwG (Geldwäschegesetz mit Identifizierungspflicht ab erstem Kontakt im Immobilienkauf) und der vom BGH 2021 klar gezogenen Grenzen für Mieterselbstauskünfte — mit den Aufsichtsbehörden der Länder als Bußgeldinstanzen.

Der Bereich ist besonders bußgeldträchtig: Übermäßige Mieterselbstauskünfte, fehlende Bonitätsanfrage-Rechtsgrundlagen und unzulässige Datenweitergabe an Vermieter sind häufige Verstöße. BayLDA und LDI NRW sind in diesem Bereich besonders aktiv. Siehe DSGVO Bußgelder. Die maßgeblichen Grundsätze der Datenminimierung stehen in Art. 5 Abs. 1 lit. c des DSGVO-Volltextes auf EUR-Lex; praxisnahe Orientierungshilfen zur Mieterselbstauskunft veröffentlicht die Datenschutzkonferenz (DSK).

Wichtige Punkte

• Mieterselbstauskunft: BGH 2021 setzt klare Grenzen — nur erforderliche Daten.
• GwG-Identifizierungspflicht bei Immobilien-Kaufgeschäften (§ 11 GwG).
• Bonitätsabfrage (Schufa, Creditreform) nur mit Rechtsgrundlage.
• Exposé-Veröffentlichung mit Personenbezug: BGH 2019 strenge Anforderungen.
• DSB-Pflicht ab 20 Personen mit automatisierter Verarbeitung.

1. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Maklervertrag	Art. 6 Abs. 1 lit. b
Interessentenanfrage	Art. 6 Abs. 1 lit. b (Vertragsanbahnung)
Bonitätsprüfung Mieter	Art. 6 Abs. 1 lit. f + Vermieterinteresse
GwG-Identifizierung	Art. 6 Abs. 1 lit. c
Marketing/Newsletter	Einwilligung (Art. 6 Abs. 1 lit. a)

2. Mieterselbstauskunft

BGH 2021 und ZIA-Verband haben klare Grenzen gezogen. Zulässig vor Vertragsschluss:

• Name, Anschrift, Telefon, E-Mail
• Anzahl Personen im Haushalt
• Beruf (allgemein)
• Einkommensbestätigung (Nettoeinkommen)

Unzulässig vor Vertragsschluss:

• Detaillierte Bonitätsdaten
• Schwangerschaft
• Religion, Ethnie
• Frühere Mietverhältnisse im Detail
• Strafregister

Bei Vertragsabschluss erweiterter Datensatz möglich.

Das tragende Prinzip heißt Stufenmodell: Je näher der Vertragsschluss, desto mehr Daten sind erforderlich — und damit zulässig. In der Besichtigungsphase genügen Name und Kontaktdaten. Erst wenn ein konkretes Mietangebot im Raum steht, werden Einkommensnachweise verhältnismäßig. Bonitätsauskünfte und Ausweiskopien gehören frühestens in die letzte Stufe, nach der grundsätzlichen Vergabeentscheidung. Wer diesen zeitlichen Aufbau einhält, argumentiert im Prüffall souverän; wer standardmäßig alles auf einmal abfragt, verstößt gegen die Datenminimierung — unabhängig davon, ob die Daten je genutzt werden.

Für die Weitergabe an den Vermieter gilt: Der Makler ist regelmäßig eigener Verantwortlicher gegenüber dem Interessenten und darf die Selbstauskunft nur mit Rechtsgrundlage weiterreichen. Zulässig ist die Übermittlung der erforderlichen Daten des tatsächlich ausgewählten Bewerbers zur Vertragsanbahnung; die Weitergabe ganzer Bewerberlisten mit sensiblen Angaben ist unzulässig.

3. Bonitätsprüfung

Schufa-/Creditreform-Anfrage:

• Vor Mietvertrag: nur mit Einwilligung des Interessenten
• Schufa BonitätsCheck (vom Interessenten selbst eingeholt) ist gängiger Weg
• Weitergabe an Vermieter: nur mit Einwilligung

Bei Kauf: Bonitätsprüfung über Bank — Makler ist nicht zuständig.

4. GwG-Identifizierung

§ 11 GwG verpflichtet zur Identifizierung von:

• Käufern und Verkäufern (ab erstem Kontakt im Immobilienkauf)
• Auch wirtschaftlich Berechtigte (Transparenzregister)
• Aufbewahrung: 5 Jahre nach Geschäftsabschluss

Datenarten: Ausweiskopie, Geburtsdatum, Geburtsort, Staatsangehörigkeit. Diese GwG-Pflichten kennen auch andere Verpflichtete — wie unser Leitfaden zum Mandantengeheimnis in Anwaltskanzleien und unsere DSGVO-Hinweise für Steuerberater zeigen, allerdings dort zusätzlich unter strafbewehrter Schweigepflicht.

5. Exposé-Datenschutz

Bei Vermarktung von Immobilien:

• Eigentümerdaten nicht im öffentlichen Exposé
• Fotos: keine Persönlichkeiten erkennbar
• Adresse: oft nur “Lage” angeben, exakte Adresse erst bei seriösem Interesse
• Innenaufnahmen: keine privaten Gegenstände erkennbar (BGH 2019 zu Inneneinrichtung)

6. Online-Portale (ImmobilienScout, Immowelt)

Datenweitergabe an Portale:

• AVV nach Art. 28 DSGVO erforderlich
• Information an Interessenten (Art. 13 DSGVO)
• Datenstandort EU
• ScamShield-Tools: nicht über erforderliches Maß hinaus

Siehe AVV-Muster.

7. CRM und Interessenten-Datenbank

Speicherung von Interessenten:

• Rechtsgrundlage Art. 6 Abs. 1 lit. f (berechtigtes Interesse)
• Löschung nach 12-24 Monaten ohne Aktivität (Empfehlung)
• Bei Kontaktwunsch durch Interessenten: Einwilligung
• Widerspruchsrecht (Art. 21) klar kommunizieren

8. Aufbewahrungsfristen

Dokument	Frist	Grundlage
Maklervertrag, Provisionsbelege	6 Jahre	§ 147 AO
GwG-Identifizierungsunterlagen	5 Jahre	§ 8 GwG
Interessenten-Daten (ohne Vertrag)	max. 24 Monate	DSGVO Verhältnismäßigkeit
Geschäftskorrespondenz	6 Jahre	§ 257 HGB

9. Datenpannen

Typische Vorfälle:

• Verlust von Notebooks/USB-Sticks mit Interessentendaten
• Falschadressierte Exposés
• Phishing mit Übernahme Maklerkonten in Portalen
• Übermäßige Datenerhebung als systematischer Verstoß

Meldepflicht 72h an LDA. Bei Übermäßiger Datenerhebung: Verwaltungsverfahren ohne konkrete Panne möglich.

10. Sanktionsbeispiele

Fall	Sanktion	Behörde
Immobilienmakler (Mieterselbstauskunft)	€15.000	LfDI BaWü
Wohnungsgesellschaft (übermäßige Daten)	€170.000	LDI NRW
Großmakler (Interessenten-DB ohne Löschung)	€50.000	BayLDA
Deutsche Wohnen	€14,5M	BlnBDI

Der Deutsche-Wohnen-Fall (Speicherung über erforderlich hinaus) ist Lehrbuch-Beispiel.

11. Informationspflichten

Bei jedem Erstkontakt:

• Datenschutzerklärung auf Website
• Hinweis bei telefonischem Erstkontakt (kurz, mit Link)
• Vollständige Information bei Maklervertrag

Siehe Datenschutzerklärung Muster.

12. Der Deutsche-Wohnen-Fall im Detail

Der wichtigste Präzedenzfall der Branche verdient eine genaue Betrachtung, weil er häufig verkürzt zitiert wird. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) verhängte 2019 gegen die Deutsche Wohnen SE ein Bußgeld von 14,5 Mio. Euro wegen eines Archivsystems, das Mieterdaten (Gehaltsnachweise, Kontoauszüge, Steuerdaten) ohne Löschmöglichkeit über Jahre speicherte — ein klarer Verstoß gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e, Art. 25 DSGVO).

Entscheidend ist die Verfahrensgeschichte: Das LG Berlin stellte das Verfahren 2021 zunächst ein, weil nach deutschem Ordnungswidrigkeitenrecht eine konkrete Anknüpfungstat einer Leitungsperson fehle. Der EuGH stellte jedoch mit Urteil C-807/21 vom 5. Dezember 2023 klar, dass ein Unternehmen unmittelbar für DSGVO-Verstöße mit Bußgeld belegt werden kann — ohne dass die Tat einer identifizierten natürlichen Person zugerechnet werden muss, aber nur bei Verschulden. Die Kernlehre für Makler und Wohnungsunternehmen bleibt: Datenhalden ohne Löschkonzept sind das teuerste Risiko der Branche.

13. Löschkonzept als zentrale Pflicht

Aus den Aufsichtsverfahren lässt sich ein klarer Handlungsauftrag ableiten. Ein Makler braucht ein dokumentiertes Löschkonzept, das für jede Datenkategorie Fristen definiert:

Datenkategorie	Auslöser	Frist
Interessent ohne Abschluss	letzter Kontakt	6–12 Monate
Nicht berücksichtigte Mietbewerber	Vergabeentscheidung	unverzüglich nach Abschluss
Selbstauskünfte abgelehnter Bewerber	Absage	sofort zurückgeben/löschen
Vertragsunterlagen	Vertragsende	handels-/steuerrechtliche Fristen
GwG-Unterlagen	Geschäftsabschluss	5 Jahre

Besonders heikel: die Selbstauskünfte nicht ausgewählter Mietbewerber. Sie müssen unmittelbar nach der Vergabe vernichtet oder zurückgegeben werden — ihre Aufbewahrung “für den Fall der Fälle” ist ein klassischer Verstoß.

14. Tool-Unterstützung

Legiscope bildet Maklerprozesse, GwG-Pflichten, AVV mit Portalen und Löschroutinen für Interessenten-DB ab — speziell für Immobilienbranche.

Fazit

Immobilienmakler bewegen sich in einem datenintensiven Geschäft, das von Aufsichtsbehörden zunehmend kritisch beobachtet wird. Wer die BGH-Grenzen für Mieterselbstauskünfte ignoriert oder Interessentendaten unbegrenzt hortet, ist erstes Ziel der nächsten Bußgeldwelle. Die wichtigsten Pflichten fasst unser kompakter DSGVO-Leitfaden für Immobilienmakler zusammen.

FAQ

Welche Daten darf ich im Mieterfragebogen abfragen?

Vor Vertragsabschluss nur erforderliche (Name, Kontakt, Personenzahl, Einkommen). Detaillierte Bonitätsdaten erst bei Vertragsabschluss.

Brauche ich Einwilligung für Schufa-Anfrage?

Ja, vor Vertragsabschluss. Üblich: Mieter bringt selbst Schufa-BonitätsCheck mit (kein Datenschutzproblem).

GwG-Pflicht: Wann beginnt sie?

Ab erstem Kontakt im Immobilien-Kaufgeschäft (§ 11 GwG), nicht erst bei Vertragsabschluss. Bei Vermietung keine GwG-Pflicht.

Wie lange darf ich Interessentendaten speichern?

Faustregel 12-24 Monate ohne Aktivität, danach Löschung oder Anonymisierung. Bei Einwilligung des Interessenten länger zulässig.

Brauche ich einen Datenschutzbeauftragten?

Ab 20 Personen mit automatisierter Verarbeitung (DSB-Pflicht nach § 38 BDSG). Bei großen Vermarktungsdatenbanken ggf. früher.

Darf ich Selbstauskünfte abgelehnter Bewerber aufbewahren?

Nein. Sobald die Vergabeentscheidung gefallen ist, sind die Unterlagen der nicht berücksichtigten Bewerber unverzüglich zu vernichten oder zurückzugeben. Eine Aufbewahrung “für den Fall der Fälle” verstößt gegen die Speicherbegrenzung und ist ein häufiger Bußgeldgrund.

Muss ich Interessenten beim Erstkontakt informieren?

Ja. Nach Art. 13 DSGVO besteht eine Informationspflicht bereits bei Erhebung. In der Praxis genügt beim Telefonkontakt ein kurzer Hinweis mit Verweis auf die vollständige Datenschutzerklärung; bei schriftlichem Kontakt wird die Erklärung mitgeliefert oder verlinkt.

Ist die Weitergabe an ImmobilienScout & Co. ein Auftragsverarbeitungsverhältnis?

Soweit das Portal Daten weisungsgebunden im Auftrag des Maklers verarbeitet, ja — dann ist ein AVV nach Art. 28 DSGVO nötig. Nutzt das Portal die Daten für eigene Zwecke, liegt eine eigenständige Verantwortlichkeit oder Übermittlung vor, die einer eigenen Rechtsgrundlage bedarf.