DSGVO Immobilienmakler 2026: Pflichten + Fristen + Bußgelder

In einem Satz. Ein Immobilienmakler wird DSGVO-konform, indem er in der Mieter- oder Käuferselbstauskunft nur zulässige Daten und diese stufenweise abfragt, Bonitäts- und SCHUFA-Prüfungen erst bei ernsthaftem Vertragsinteresse durchführt, Interessentendaten nach Zweckerreichung löscht, Objektfotos ohne erkennbare Bewohner erstellt und Auftragsverarbeiter (CRM, Portale) vertraglich bindet.

Was muss ein Immobilienmakler für DSGVO-Konformität tun? Makler verarbeiten hochsensible Finanz- und Wohnverhältnisdaten von Interessenten, Eigentümern und Mietern. Konformität heißt: die Datenabfrage in der Selbstauskunft auf das Zulässige begrenzen (Stufenmodell der DSK), Bonitätsprüfungen zeitlich und sachlich rechtfertigen, klare Löschfristen setzen und Portale, CRM und Bonitätsdienste als Auftragsverarbeiter oder Verantwortliche korrekt einordnen. Dieser Leitfaden ergänzt unseren Beitrag DSGVO Immobilienmakler Deutschland. Einstieg: DSGVO Anforderungen.

Wichtige Punkte

• Selbstauskunft nach Stufenmodell: Datenabfrage erst mit zunehmendem Vertragsinteresse.
• SCHUFA-/Bonitätsprüfung erst bei ernsthafter Vertragsanbahnung zulässig.
• Objektfotos ohne erkennbare Personen und persönliche Gegenstände.
• Interessentendaten nach Zweckerreichung zeitnah löschen.
• Deutsche Wohnen 14,5 Mio. € - die Immobilienbranche steht im Fokus der Behörden.

1. Welche Daten der Makler verarbeitet

Der Makler verarbeitet Interessentendaten (Kontakt, Einkommen, Familienstand, Beruf), Eigentümerdaten, Objektdaten mit Personenbezug, Bonitätsauskünfte und Ausweiskopien (Geldwäschegesetz). Vieles davon ist wirtschaftlich hochsensibel - das prägt das Schutzniveau und die Löschdisziplin.

2. Rechtsgrundlagen pro Verarbeitung

Verarbeitung	Rechtsgrundlage
Interessentenverwaltung	Art. 6 Abs. 1 lit. b (vorvertraglich)
Selbstauskunft (Vertragsanbahnung)	Art. 6 Abs. 1 lit. b
Bonitäts-/SCHUFA-Prüfung	Art. 6 Abs. 1 lit. f (bei ernsthaftem Interesse)
GwG-Identifizierung (Ausweis)	Art. 6 Abs. 1 lit. c (§ 11 GwG)
Objektfotos	Art. 6 Abs. 1 lit. f
Exposé-Versand / Newsletter	Art. 6 Abs. 1 lit. a
Provisionsabrechnung	Art. 6 Abs. 1 lit. c

3. Die Selbstauskunft - das Stufenmodell

Die Datenschutzkonferenz hat für die Mieterselbstauskunft ein anerkanntes Stufenmodell entwickelt, das analog auf Kaufinteressenten anwendbar ist:

• Stufe 1 - erste Kontaktaufnahme / Besichtigungsanfrage: nur Name und Kontaktdaten. Einkommen, Arbeitgeber oder SCHUFA dürfen hier nicht erhoben werden.
• Stufe 2 - Besichtigung / engere Auswahl: ergänzende Angaben zur Zahl der einziehenden Personen, Beruf allgemein.
• Stufe 3 - konkrete Vertragsanbahnung mit ernsthaftem Interesse: Einkommensnachweis, Arbeitgeber, Bonitätsauskunft, ggf. Vormieterbescheinigung.

Wer bereits bei der Massenanfrage Gehaltsnachweise und SCHUFA verlangt, verstößt gegen die Datenminimierung. Nach Absage sind die Daten der nicht berücksichtigten Interessenten zu löschen.

4. Bonitätsprüfung und SCHUFA

Eine Bonitätsauskunft ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, solange ein Mensch die Auswahl trifft - der SCHUFA-Score darf aber nur als ein Faktor einfließen. Zulässig ist die Abfrage erst bei ernsthafter Vertragsanbahnung (Stufe 3), nicht auf Vorrat. Der Interessent ist über die Einholung zu informieren. Fragen nach Vorstrafen, Schwangerschaft, Religion, ethnischer Herkunft oder Parteizugehörigkeit sind unzulässig.

5. Objektfotos und Exposé

Objektfotos dürfen keine erkennbaren Personen und möglichst keine identifizierenden persönlichen Gegenstände (Familienfotos, Namensschilder, sichtbare Dokumente) zeigen. Bei bewohnten Objekten ist die Einwilligung des Mieters zur Innenaufnahme einzuholen. Das Exposé sollte die Adresse gegenüber der breiten Öffentlichkeit nur so genau wie nötig nennen; die genaue Anschrift erst an ernsthafte Interessenten.

6. Portale und CRM - Verantwortlicher oder Auftragsverarbeiter?

Immobilienportale (ImmoScout24, Immowelt) sind für die Veröffentlichung des Inserats meist eigenständig Verantwortliche, für die Weiterleitung von Interessentenanfragen kann eine gemeinsame Verantwortlichkeit oder Auftragsverarbeitung vorliegen - die vertragliche Einordnung ist zu prüfen. Für Makler-CRM, Newsletter-Tools und Cloud-Speicher ist ein Auftragsverarbeitungsvertrag nach Art. 28 erforderlich.

7. Aufbewahrungsfristen

Datenart	Frist	Grundlage
Provisionsabrechnung, Buchungsbelege	10 Jahre	§ 147 AO, § 257 HGB
GwG-Identifizierungsunterlagen	5 Jahre	§ 8 GwG
Vertragsunterlagen (Kauf/Miete)	bis Ablauf Verjährung	§ 195 BGB
Daten nicht berücksichtigter Interessenten	nach Absage / Zweckerreichung	Speicherbegrenzung
Exposé-Interessenten ohne Vertrag	zeitnah nach Vermarktungsende	Speicherbegrenzung
Bewerberdaten	6 Monate nach Absage	AGG-Klagefrist

Die konsequente Löschung von Interessentendaten ist der neuralgische Punkt - genau hier wurde die Branche sanktioniert.

8. Echte Bußgelder - was den Sektor betrifft

Die Immobilienbranche gehört zu den am härtesten sanktionierten Sektoren:

Jahr	Behörde	Fall (Sektor)	Sanktion	Lehre für Makler
2019	BlnBDI	Deutsche Wohnen SE	14.500.000 €	Altdaten ohne Löschkonzept horten
2021	LfDI BW	Notebooksbilliger (Handel)	10.400.000 €	keine dauerhafte Videoüberwachung
2020	LfDI BW	AOK Baden-Württemberg	1.240.000 €	keine Zweckentfremdung von Daten

Der Fall Deutsche Wohnen ist die Blaupause: Über Jahre gespeicherte Mieter- und Interessentendaten ohne Löschkonzept - genau das Risiko, das jeder Makler mit einer wachsenden Interessentendatei trägt.

9. Häufige Fehler

• Vollständige Selbstauskunft samt SCHUFA schon bei der ersten Anfrage.
• Interessentendaten werden nach Absage nie gelöscht.
• Objekt-Innenaufnahmen mit erkennbaren Bewohnern oder persönlichen Gegenständen.
• Kein AVV mit CRM- und Newsletter-Dienst.
• Ausweiskopien (GwG) länger als 5 Jahre oder ungesichert gespeichert.
• Exposé-Versand als offener E-Mail-Verteiler.

10. Tool-Unterstützung

Legiscope unterstützt Maklerbüros bei rechtssicheren Selbstauskunfts-Formularen nach dem Stufenmodell, AVV mit CRM und Portalen sowie einem automatisierten Löschkonzept für Interessentendaten.

11. Datenpanne beim Makler

Typische Szenarien: der versehentliche Versand einer vollständigen Interessentenliste per offenem Verteiler, ein Fehlversand von Selbstauskünften mit Einkommensdaten, ein verlorenes Notebook mit Objekt- und Bonitätsdaten oder ein gehacktes CRM. Da Selbstauskünfte Finanz- und teils Bonitätsdaten enthalten, ist das Risiko für Betroffene häufig hoch - die 72-Stunden-Meldung nach Art. 33 DSGVO und ggf. eine Benachrichtigung der Betroffenen nach Art. 34 sind dann geboten. Vorsorge: Zugriffsbeschränkung im CRM, Verschlüsselung, BCC statt CC bei Exposé-Mails, getestete Backups. Meldewege: Datenpanne melden.

12. Umsetzung in fünf Schritten

1. Datenlandkarte: Interessenten-, Eigentümer-, Objekt-, Bonitäts- und GwG-Daten sowie alle Portale und Tools erfassen.
2. Selbstauskunft nach Stufenmodell gestalten - Datenabfrage erst mit zunehmendem Vertragsinteresse.
3. Verzeichnis nach Art. 30 anlegen und die Rollen der Portale (Verantwortlicher / Auftragsverarbeiter) vertraglich klären.
4. Löschkonzept: Interessentendaten nach Absage löschen, GwG-Unterlagen nach 5 Jahren, Provisionsbelege nach 10 Jahren.
5. Sicherheit: CRM-Zugriffe je Nutzer begrenzen, Verschlüsselung, gesicherte Ablage der Ausweiskopien getrennt von der Interessentendatei.

13. Betroffenenrechte in der Praxis

Interessenten, Mieter und Käufer machen ihre Rechte gegenüber dem Makler zunehmend geltend - abgelehnte Bewerber verlangen häufig Auskunft und Löschung. Der Makler braucht Prozesse mit der Monatsfrist (Art. 12 Abs. 3):

• Auskunft (Art. 15): Welche Daten aus Selbstauskunft, Bonitätsprüfung und CRM liegen vor, aus welcher Quelle, zu welchem Zweck, wie lange gespeichert?
• Berichtigung (Art. 16): unrichtige Angaben korrigieren.
• Löschung (Art. 17): Daten nicht berücksichtigter Interessenten sind ohnehin nach Absage zu löschen; GwG- und Provisionsunterlagen bleiben bis Fristablauf gesperrt.
• Widerspruch (Art. 21) gegen die Aufnahme in Verteiler oder gegen auf berechtigtem Interesse gestützte Verarbeitung.
• Beschwerde und Schadensersatz: Betroffene können sich an die Aufsichtsbehörde wenden (Art. 77); bei Verstößen droht Schadensersatz nach Art. 82, was gerade im Immobilienbereich mit vielen abgelehnten Interessenten ein reales Massenrisiko ist.

Wer eine wachsende Interessentendatei führt, sollte Auskunfts- und Löschanfragen automatisiert unterstützen - andernfalls wird jede Beschwerde zum manuellen Kraftakt. Die frühzeitige Löschung nicht benötigter Daten reduziert das Auskunftsvolumen und das Sanktionsrisiko zugleich.

Fazit

Immobilienmakler stehen im Fokus der Aufsichtsbehörden, weil sie sensible Finanz- und Wohnverhältnisdaten in großen Mengen sammeln. Entscheidend sind das Stufenmodell der Selbstauskunft, eine zeitlich begrenzte Bonitätsprüfung und vor allem ein konsequentes Löschen von Interessentendaten. Der Fall Deutsche Wohnen zeigt, wie teuer fehlende Löschdisziplin wird. Wer auch Verwaltung oder Finanzierung anbietet, findet ergänzende Themen im Leitfaden DSGVO Banken und Fintech.

FAQ

Darf ich schon bei der ersten Anfrage eine SCHUFA-Auskunft verlangen?

Nein. Nach dem Stufenmodell der DSK ist die Bonitäts- und SCHUFA-Prüfung erst bei ernsthafter Vertragsanbahnung (engere Auswahl) zulässig, nicht bei der Massenanfrage.

Welche Fragen sind in der Selbstauskunft unzulässig?

Fragen nach Religion, ethnischer Herkunft, Parteizugehörigkeit, Schwangerschaft, Vorstrafen oder Gewerkschaftsmitgliedschaft sind unzulässig. Einkommen und Arbeitgeber erst in der konkreten Vertragsanbahnung.

Wie lange darf ich Interessentendaten speichern?

Nur solange der Vermarktungszweck besteht. Daten nicht berücksichtigter Interessenten sind nach Absage bzw. Vermarktungsende zeitnah zu löschen (Speicherbegrenzung).

Brauche ich einen AVV mit ImmoScout24?

Für die reine Anzeigenveröffentlichung ist das Portal meist eigener Verantwortlicher; für die Interessentenweiterleitung kann gemeinsame Verantwortlichkeit oder Auftragsverarbeitung vorliegen. Die konkrete vertragliche Einordnung ist zu prüfen. Für Makler-CRM ist ein AVV nach Art. 28 nötig.

Muss ich Ausweiskopien nach dem Geldwäschegesetz aufbewahren?

Ja, GwG-Identifizierungsunterlagen sind 5 Jahre aufzubewahren (§ 8 GwG) und danach zu löschen. Sie sind gesichert und getrennt von der allgemeinen Interessentendatei zu speichern.

Darf ich Interessentendaten für andere Objekte weiterverwenden?

Nur mit passender Rechtsgrundlage. Wer sich auf ein konkretes Objekt beworben hat, hat nicht automatisch in eine allgemeine Objektsuche eingewilligt. Für die fortlaufende Suche und die Benachrichtigung über weitere Objekte brauchen Sie entweder eine gesonderte Einwilligung oder ein tragfähiges berechtigtes Interesse mit dokumentierter Abwägung und Widerspruchsmöglichkeit. Ohne diese Grundlage sind die Daten nach der Absage zum ursprünglichen Objekt zu löschen.

Muss ich Interessenten über die Datenverarbeitung informieren?

Ja. Nach Art. 13 sind Interessenten bei der Erhebung transparent über Zwecke, Rechtsgrundlagen, Empfänger (Portale, Bonitätsdienste), Speicherdauer und ihre Rechte zu informieren - in der Regel über eine Datenschutzinformation, die dem Exposé oder der Selbstauskunft beiliegt.

Behördeninformationen: Datenschutzkonferenz (DSK) und BfDI; Gesetzestexte unter gesetze-im-internet.de/gwg_2017.