DSGVO im Maklerbüro: was wirklich zu tun ist
Datenschutz im Maklerbüro ist überschaubar, wenn man ihn einmal ordentlich aufsetzt. Die Liste, die tatsächlich abzuarbeiten ist.
Maklerbüros verarbeiten außergewöhnlich sensible Daten: Einkommensverhältnisse, Finanzierungsunterlagen, Familiensituationen, Grundbuchdaten, manchmal Scheidungs- oder Erbfälle. Entsprechend ernst sollte der Datenschutz genommen werden – und entsprechend häufig ist er in kleinen Büros unbearbeitet.
Hinweis: Dieser Beitrag beschreibt die Praxis und ersetzt keine Rechtsberatung. Für die Umsetzung im Einzelfall ziehe einen Datenschutzberater oder Anwalt hinzu.
Was tatsächlich zu tun ist
1. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Eine Übersicht darüber, welche Daten du zu welchem Zweck auf welcher Rechtsgrundlage verarbeitest, wie lange du sie speicherst und an wen sie weitergehen. Für ein Maklerbüro sind das typischerweise fünf bis zehn Verarbeitungen: Interessentenverwaltung, Objektverwaltung, Eigentümerbetreuung, Buchhaltung, Bewerbungen, Website.
Das Verzeichnis ist Pflicht und der erste Punkt, nach dem eine Aufsichtsbehörde fragt.
2. Informationspflichten (Art. 13 DSGVO). Jeder, dessen Daten du erhebst, muss informiert werden – Interessenten bei der Anfrage, Eigentümer beim Auftrag, Besucher der Besichtigung auf der Liste. Praktisch löst man das mit einem kurzen Datenschutzhinweis, der verlinkt oder ausgehändigt wird.
3. Rechtsgrundlagen klären. Für die Vertragsanbahnung und -durchführung ist das meist Art. 6 Abs. 1 lit. b DSGVO. Für Werbung und spätere Kontaktaufnahme brauchst du entweder eine Einwilligung oder ein berechtigtes Interesse – hier liegt der häufigste Streitpunkt bei der Kontaktpflege nach dem Verkauf.
4. Löschkonzept. Wie lange behältst du Interessentendaten von Menschen, die nicht gekauft haben? Eine pauschale Aufbewahrung „für immer" ist nicht zulässig. Üblich sind Fristen, die sich an den handels- und steuerrechtlichen Aufbewahrungspflichten orientieren, plus definierte kürzere Fristen für nicht vertragsrelevante Daten.
5. Auftragsverarbeitungsverträge. Mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet: Softwareanbieter, Hoster, externe Buchhaltung, Telefondienst, Newsletter-Anbieter. Ohne AV-Vertrag ist die Weitergabe unzulässig.
6. Technische und organisatorische Maßnahmen (TOM). Eine Dokumentation, wie du die Daten schützt: Zugriffsschutz, Verschlüsselung, Backup, Bildschirmsperre, Umgang mit mobilen Geräten.
7. Datenschutzbeauftragter – meist nicht nötig. Ein interner Datenschutzbeauftragter ist erst ab 20 Personen erforderlich, die ständig mit automatisierter Verarbeitung befasst sind. Die meisten Maklerbüros liegen darunter.
Die drei praktischen Baustellen
Die Besichtigungsliste. Wenn zwölf Menschen sich mit Namen und Telefonnummer eintragen, sieht jeder die Daten der anderen. Sauberer sind einzelne Zettel oder eine digitale Erfassung. Und es braucht einen Hinweis, wofür die Daten verwendet werden.
Das private Handy. Kundendaten im privaten Adressbuch, WhatsApp mit Adressbuchabgleich, Fotos von Grundrissen in der Fotomediathek. Das ist der häufigste ungelöste Punkt in kleinen Büros. Siehe WhatsApp im Maklerbüro.
Die Kontaktpflege nach Jahren. Wenn du einen Käufer von 2019 anschreibst, brauchst du dafür eine Grundlage. Am saubersten ist die Einwilligung, die du beim Abschluss einholst – ein Satz im Übergabeprotokoll genügt. Siehe Nach dem Verkauf: Kontakt halten.
Was du bei Software prüfen solltest
Wenn du eine Software einsetzt, die Mails, Kontakte oder Objektdaten verarbeitet, gehören auf deine Prüfliste:
- Liegt ein Auftragsverarbeitungsvertrag vor, und zwar unterschriftsreif?
- Wo werden die Daten verarbeitet – EU oder Drittland? Bei Drittländern: welche Garantien?
- Gibt es eine Liste der Unterauftragsverarbeiter?
- Werden Inhalte für das Training von KI-Modellen verwendet? Bei Maklerdaten ist das ein Ausschlusskriterium – hier gehört eine vertragliche Zusicherung her.
- Wie funktioniert Löschung: Werden bei Kontotrennung tatsächlich alle Kopien entfernt?
Mehr dazu in Datensicherheit: Postfach freigeben?.
Der pragmatische Einstieg
Wenn bei dir bisher nichts dokumentiert ist, ist die Reihenfolge:
- Verzeichnis von Verarbeitungstätigkeiten anlegen
- Datenschutzhinweise für Website, Anfragen und Besichtigungen erstellen
- AV-Verträge mit allen Dienstleistern einsammeln
- TOM dokumentieren
- Löschfristen festlegen
Das ist an zwei konzentrierten Tagen machbar oder mit einem Berater an einem. Danach ist es Pflege, keine Neuanlage.
Passend dazu
Pflichten für Makler: was bei jedem Auftrag zu beachten ist
Ein Überblick über die Pflichten, die bei jedem Auftrag greifen – als Landkarte, nicht als Rechtsgutachten.
Datensicherheit: Sollte ich einer Software mein Postfach geben?
Die berechtigtste Frage bei jeder Maklersoftware. Die Kriterien, an denen du eine seriöse Antwort erkennst.
Aufbewahrungsfristen im Maklerbüro: was wie lange bleiben muss
Handelsrecht, Steuerrecht, Geldwäschegesetz und Datenschutz stellen unterschiedliche Anforderungen. Wie du sie zusammenbringst.