In einem Satz. Ein Immobilienmakler wird DSGVO-konform, indem er in der Mieter- oder Käuferselbstauskunft nur zulässige Daten und diese stufenweise abfragt, Bonitäts- und SCHUFA-Prüfungen erst bei ernsthaftem Vertragsinteresse durchführt, Interessentendaten nach Zweckerreichung löscht, Objektfotos ohne erkennbare Bewohner erstellt und Auftragsverarbeiter (CRM, Portale) vertraglich bindet.
Was muss ein Immobilienmakler für DSGVO-Konformität tun? Makler verarbeiten hochsensible Finanz- und Wohnverhältnisdaten von Interessenten, Eigentümern und Mietern. Konformität heißt: die Datenabfrage in der Selbstauskunft auf das Zulässige begrenzen (Stufenmodell der DSK), Bonitätsprüfungen zeitlich und sachlich rechtfertigen, klare Löschfristen setzen und Portale, CRM und Bonitätsdienste als Auftragsverarbeiter oder Verantwortliche korrekt einordnen. Dieser Leitfaden ergänzt unseren Beitrag DSGVO Immobilienmakler Deutschland. Einstieg: DSGVO Anforderungen.
Wichtige Punkte
- Selbstauskunft nach Stufenmodell: Datenabfrage erst mit zunehmendem Vertragsinteresse.
- SCHUFA-/Bonitätsprüfung erst bei ernsthafter Vertragsanbahnung zulässig.
- Objektfotos ohne erkennbare Personen und persönliche Gegenstände.
- Interessentendaten nach Zweckerreichung zeitnah löschen.
- Deutsche Wohnen 14,5 Mio. € - die Immobilienbranche steht im Fokus der Behörden.
1. Welche Daten der Makler verarbeitet
Der Makler verarbeitet Interessentendaten (Kontakt, Einkommen, Familienstand, Beruf), Eigentümerdaten, Objektdaten mit Personenbezug, Bonitätsauskünfte und Ausweiskopien (Geldwäschegesetz). Vieles davon ist wirtschaftlich hochsensibel - das prägt das Schutzniveau und die Löschdisziplin.
Wann die Identifizierungspflichten tatsächlich greifen und wie Zweckbindung, Aufbewahrung und Auskunft zusammenpassen, klärt der Prüfablauf zu Geldwäsche und Datenschutz.
2. Rechtsgrundlagen pro Verarbeitung
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Interessentenverwaltung | Art. 6 Abs. 1 lit. b (vorvertraglich) |
| Selbstauskunft (Vertragsanbahnung) | Art. 6 Abs. 1 lit. b |
| Bonitäts-/SCHUFA-Prüfung | Art. 6 Abs. 1 lit. f (bei ernsthaftem Interesse) |
| GwG-Identifizierung (Ausweis) | Art. 6 Abs. 1 lit. c (§ 11 GwG) |
| Objektfotos | Art. 6 Abs. 1 lit. f |
| Exposé-Versand / Newsletter | Art. 6 Abs. 1 lit. a |
| Provisionsabrechnung | Art. 6 Abs. 1 lit. c |
3. Die Selbstauskunft - das Stufenmodell
Die Datenschutzkonferenz hat für die Mieterselbstauskunft ein anerkanntes Stufenmodell entwickelt, das analog auf Kaufinteressenten anwendbar ist:
- Stufe 1 - erste Kontaktaufnahme / Besichtigungsanfrage: nur Name und Kontaktdaten. Einkommen, Arbeitgeber oder SCHUFA dürfen hier nicht erhoben werden.
- Stufe 2 - Besichtigung / engere Auswahl: ergänzende Angaben zur Zahl der einziehenden Personen, Beruf allgemein.
- Stufe 3 - konkrete Vertragsanbahnung mit ernsthaftem Interesse: Einkommensnachweis, Arbeitgeber, Bonitätsauskunft, ggf. Vormieterbescheinigung.
Wer bereits bei der Massenanfrage Gehaltsnachweise und SCHUFA verlangt, verstößt gegen die Datenminimierung. Nach Absage sind die Daten der nicht berücksichtigten Interessenten zu löschen.
4. Bonitätsprüfung und SCHUFA
Eine Bonitätsauskunft ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, solange ein Mensch die Auswahl trifft - der SCHUFA-Score darf aber nur als ein Faktor einfließen. Zulässig ist die Abfrage erst bei ernsthafter Vertragsanbahnung (Stufe 3), nicht auf Vorrat. Der Interessent ist über die Einholung zu informieren. Fragen nach Vorstrafen, Schwangerschaft, Religion, ethnischer Herkunft oder Parteizugehörigkeit sind unzulässig.
5. Objektfotos und Exposé
Objektfotos dürfen keine erkennbaren Personen und möglichst keine identifizierenden persönlichen Gegenstände (Familienfotos, Namensschilder, sichtbare Dokumente) zeigen. Bei bewohnten Objekten ist die Einwilligung des Mieters zur Innenaufnahme einzuholen. Das Exposé sollte die Adresse gegenüber der breiten Öffentlichkeit nur so genau wie nötig nennen; die genaue Anschrift erst an ernsthafte Interessenten.
6. Portale und CRM - Verantwortlicher oder Auftragsverarbeiter?
Immobilienportale (ImmoScout24, Immowelt) sind für die Veröffentlichung des Inserats meist eigenständig Verantwortliche, für die Weiterleitung von Interessentenanfragen kann eine gemeinsame Verantwortlichkeit oder Auftragsverarbeitung vorliegen - die vertragliche Einordnung ist zu prüfen. Für Makler-CRM, Newsletter-Tools und Cloud-Speicher ist ein Auftragsverarbeitungsvertrag nach Art. 28 erforderlich.
7. Aufbewahrungsfristen
| Datenart | Frist | Grundlage |
|---|---|---|
| Provisionsabrechnung als Buchungsbeleg | grundsätzlich 8 Jahre; Fristbeginn und mögliche Verlängerung prüfen | § 147 Abs. 3–4 AO, § 257 Abs. 4–5 HGB |
| GwG-Identifizierungsunterlagen | grundsätzlich 5 Jahre ab maßgeblichem Jahresende; längere gesetzliche Pflichten und Höchstfrist prüfen | § 8 Abs. 4 GwG |
| Vertragsunterlagen (Kauf/Miete) | bis Ablauf Verjährung | § 195 BGB |
| Daten nicht berücksichtigter Interessenten | nach Absage / Zweckerreichung | Speicherbegrenzung |
| Exposé-Interessenten ohne Vertrag | zeitnah nach Vermarktungsende | Speicherbegrenzung |
| Bewerberdaten | begründete Frist zur Anspruchsabwehr nach Abschluss; keine pauschale gesetzliche Sechsmonatsfrist | Erforderlichkeit und einschlägige Anspruchsfristen |
Die konsequente Löschung von Interessentendaten ist der neuralgische Punkt - genau hier wurde die Branche sanktioniert.
8. Echte Bußgelder - was den Sektor betrifft
Die Immobilienbranche gehört zu den am härtesten sanktionierten Sektoren:
| Jahr | Behörde | Fall (Sektor) | Sanktion | Lehre für Makler |
|---|---|---|---|---|
| 2019 | BlnBDI | Deutsche Wohnen SE | 14.500.000 € | Altdaten ohne Löschkonzept horten |
| 2021 | LfDI BW | Notebooksbilliger (Handel) | 10.400.000 € | keine dauerhafte Videoüberwachung |
| 2020 | LfDI BW | AOK Baden-Württemberg | 1.240.000 € | keine Zweckentfremdung von Daten |
Der Fall Deutsche Wohnen ist die Blaupause: Über Jahre gespeicherte Mieter- und Interessentendaten ohne Löschkonzept - genau das Risiko, das jeder Makler mit einer wachsenden Interessentendatei trägt.
9. Häufige Fehler
- Vollständige Selbstauskunft samt SCHUFA schon bei der ersten Anfrage.
- Interessentendaten werden nach Absage nie gelöscht.
- Objekt-Innenaufnahmen mit erkennbaren Bewohnern oder persönlichen Gegenständen.
- Kein AVV mit CRM- und Newsletter-Dienst.
- Ausweiskopien (GwG) ohne dokumentierten Fristbeginn, über die anwendbare Frist hinaus oder ungesichert gespeichert.
- Exposé-Versand als offener E-Mail-Verteiler.
11. Datenpanne beim Makler
Typische Szenarien: der versehentliche Versand einer vollständigen Interessentenliste per offenem Verteiler, ein Fehlversand von Selbstauskünften mit Einkommensdaten, ein verlorenes Notebook mit Objekt- und Bonitätsdaten oder ein gehacktes CRM. Da Selbstauskünfte Finanz- und teils Bonitätsdaten enthalten, ist das Risiko für Betroffene häufig hoch - die 72-Stunden-Meldung nach Art. 33 DSGVO und ggf. eine Benachrichtigung der Betroffenen nach Art. 34 sind dann geboten. Vorsorge: Zugriffsbeschränkung im CRM, Verschlüsselung, BCC statt CC bei Exposé-Mails, getestete Backups. Meldewege: Datenpanne melden.
12. Umsetzung in fünf Schritten
- Datenlandkarte: Interessenten-, Eigentümer-, Objekt-, Bonitäts- und GwG-Daten sowie alle Portale und Tools erfassen.
- Selbstauskunft nach Stufenmodell gestalten - Datenabfrage erst mit zunehmendem Vertragsinteresse.
- Verzeichnis nach Art. 30 anlegen und die Rollen der Portale (Verantwortlicher / Auftragsverarbeiter) vertraglich klären.
- Löschkonzept: Interessentendaten nach Absage löschen, GwG-Unterlagen nach der anhand von § 8 Absatz 4 ermittelten Frist, Provisionsabrechnungen als Buchungsbelege grundsätzlich nach acht Jahren ab Jahresende; gesetzliche Verlängerungen gesondert prüfen.
- Sicherheit: CRM-Zugriffe je Nutzer begrenzen, Verschlüsselung, gesicherte Ablage der Ausweiskopien getrennt von der Interessentendatei.
13. Betroffenenrechte in der Praxis
Interessenten, Mieter und Käufer machen ihre Rechte gegenüber dem Makler zunehmend geltend - abgelehnte Bewerber verlangen häufig Auskunft und Löschung. Der Makler braucht Prozesse mit der Monatsfrist (Art. 12 Abs. 3):
- Auskunft (Art. 15): Welche Daten aus Selbstauskunft, Bonitätsprüfung und CRM liegen vor, aus welcher Quelle, zu welchem Zweck, wie lange gespeichert?
- Berichtigung (Art. 16): unrichtige Angaben korrigieren.
- Löschung (Art. 17): Daten nicht berücksichtigter Interessenten sind ohnehin nach Absage zu löschen; GwG- und Provisionsunterlagen bleiben bis Fristablauf gesperrt.
- Widerspruch (Art. 21) gegen die Aufnahme in Verteiler oder gegen auf berechtigtem Interesse gestützte Verarbeitung.
- Beschwerde und Schadensersatz: Betroffene können sich an die Aufsichtsbehörde wenden (Art. 77); bei Verstößen droht Schadensersatz nach Art. 82, was gerade im Immobilienbereich mit vielen abgelehnten Interessenten ein reales Massenrisiko ist.
Wer eine wachsende Interessentendatei führt, sollte Auskunfts- und Löschanfragen automatisiert unterstützen - andernfalls wird jede Beschwerde zum manuellen Kraftakt. Die frühzeitige Löschung nicht benötigter Daten reduziert das Auskunftsvolumen und das Sanktionsrisiko zugleich.
Fazit
Immobilienmakler stehen im Fokus der Aufsichtsbehörden, weil sie sensible Finanz- und Wohnverhältnisdaten in großen Mengen sammeln. Entscheidend sind das Stufenmodell der Selbstauskunft, eine zeitlich begrenzte Bonitätsprüfung und vor allem ein konsequentes Löschen von Interessentendaten. Der Fall Deutsche Wohnen zeigt, wie teuer fehlende Löschdisziplin wird. Wer auch Verwaltung oder Finanzierung anbietet, findet ergänzende Themen im Leitfaden DSGVO Banken und Fintech.
FAQ
Darf ich schon bei der ersten Anfrage eine SCHUFA-Auskunft verlangen?
Nein. Nach dem Stufenmodell der DSK ist die Bonitäts- und SCHUFA-Prüfung erst bei ernsthafter Vertragsanbahnung (engere Auswahl) zulässig, nicht bei der Massenanfrage.
Welche Fragen sind in der Selbstauskunft unzulässig?
Fragen nach Religion, ethnischer Herkunft, Parteizugehörigkeit, Schwangerschaft, Vorstrafen oder Gewerkschaftsmitgliedschaft sind unzulässig. Einkommen und Arbeitgeber erst in der konkreten Vertragsanbahnung.
Wie lange darf ich Interessentendaten speichern?
Nur solange der Vermarktungszweck besteht. Daten nicht berücksichtigter Interessenten sind nach Absage bzw. Vermarktungsende zeitnah zu löschen (Speicherbegrenzung).
Brauche ich einen AVV mit ImmoScout24?
Für die reine Anzeigenveröffentlichung ist das Portal meist eigener Verantwortlicher; für die Interessentenweiterleitung kann gemeinsame Verantwortlichkeit oder Auftragsverarbeitung vorliegen. Die konkrete vertragliche Einordnung ist zu prüfen. Für Makler-CRM ist ein AVV nach Art. 28 nötig.
Muss ich Ausweiskopien nach dem Geldwäschegesetz aufbewahren?
Soweit die Identifizierungspflichten greifen, sind die betreffenden Unterlagen nach § 8 GwG aufzubewahren. Grundsätzlich gelten fünf Jahre ab dem gesetzlich bestimmten Jahresende; längere gesetzliche Pflichten und die Zehnjahreshöchstfrist sind zu beachten. Schützen Sie die Unterlagen vor unbefugtem Zugriff und löschen Sie sie nach Ablauf der anwendbaren Frist.
Darf ich Interessentendaten für andere Objekte weiterverwenden?
Nur mit passender Rechtsgrundlage. Wer sich auf ein konkretes Objekt beworben hat, hat nicht automatisch in eine allgemeine Objektsuche eingewilligt. Für die fortlaufende Suche und die Benachrichtigung über weitere Objekte brauchen Sie entweder eine gesonderte Einwilligung oder ein tragfähiges berechtigtes Interesse mit dokumentierter Abwägung und Widerspruchsmöglichkeit. Ohne diese Grundlage sind die Daten nach der Absage zum ursprünglichen Objekt zu löschen.
Muss ich Interessenten über die Datenverarbeitung informieren?
Ja. Nach Art. 13 sind Interessenten bei der Erhebung transparent über Zwecke, Rechtsgrundlagen, Empfänger (Portale, Bonitätsdienste), Speicherdauer und ihre Rechte zu informieren - in der Regel über eine Datenschutzinformation, die dem Exposé oder der Selbstauskunft beiliegt.
Behördeninformationen: Datenschutzkonferenz (DSK) und BfDI; Gesetzestexte unter gesetze-im-internet.de/gwg_2017.