DSGVO im Maklerbüro 2026, was Sie wirklich prüfen müssen

Wer als Makler mit personenbezogenen Daten arbeitet, und das tun Sie sobald Sie einen Interessenten anrufen, steht in einer klaren Verantwortung nach der Datenschutz-Grundverordnung. Die DSGVO ist inzwischen keine Neuigkeit mehr, aber die praktischen Fallstricke im Maklerbüro sind es. Dieser Beitrag geht die sechs Baustellen durch, an denen wir in Gesprächen mit Kolleginnen und Kollegen am häufigsten Lücken sehen, und zeigt, wie sich jede davon in überschaubarer Zeit sauber schließen lässt.

1. Auftragsverarbeitungsverträge mit jedem Software-Anbieter

Sobald Sie ein CRM, ein E-Mail-Marketing-Tool oder auch nur einen Cloud-Speicher nutzen, in dem Kundendaten liegen, gilt der Anbieter als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Sie müssen mit ihm einen sogenannten AV-Vertrag geschlossen haben. Der ist bei seriösen Anbietern in der Regel als Download bereitgestellt und wird digital gegengezeichnet, das dauert fünf Minuten pro Anbieter, wenn Sie den Prozess einmal etabliert haben.

In der Praxis vergessen viele Büros gerade die kleinen Werkzeuge: das Umfrage-Tool für die Kundenzufriedenheit, die Terminbuchungssoftware, das Formular auf der Website, den PDF-Editor. Legen Sie einmalig eine Liste aller Tools an, in denen Daten anfallen. Prüfen Sie für jedes, ob ein AV-Vertrag existiert. Wenn nicht, nachziehen oder den Anbieter wechseln.

2. Speicherfristen definieren und einhalten

Sie dürfen personenbezogene Daten nur so lange speichern, wie es für den Zweck erforderlich ist. Bei einem Interessenten, der sich für ein Objekt gemeldet hat, ist das nach Abwicklung des Kaufs typischerweise noch zehn Jahre, wegen der handels- und steuerrechtlichen Aufbewahrungspflichten aus § 257 HGB und § 147 AO. Bei einem Interessenten, der sich nie zurückgemeldet hat, ist die Frist deutlich kürzer.

Die Praxis: definieren Sie in einer schriftlichen Löschkonzeption pro Datenkategorie eine Frist. Für Interessenten ohne Vertragsabschluss reichen typischerweise sechs Monate nach dem letzten Kontakt, danach werden die Daten gelöscht oder anonymisiert. Ein gutes CRM erlaubt Ihnen, diese Frist als automatischen Prozess zu hinterlegen, kein manuelles Aufräumen mehr, keine „hab ich vergessen"-Lücke.

3. Auskunftsrecht nach Art. 15 in unter 30 Tagen bedienen

Jede Person hat das Recht zu erfahren, welche Daten Sie über sie gespeichert haben. Sie müssen die Auskunft innerhalb eines Monats erteilen, in Ausnahmefällen kann sich die Frist um zwei Monate verlängern. Kommt die Auskunft nicht oder zu spät, drohen Bußgelder, und, was oft unterschätzt wird, ein direkter Beschwerdegrund bei der zuständigen Aufsichtsbehörde.

Der Aufwand hängt komplett davon ab, wie gut Ihre Datenhaltung organisiert ist. Wer Interessenten in einer Excel-Tabelle, drei WhatsApp-Chats und dem E-Mail-Postfach führt, braucht für eine einzige Auskunftsanfrage einen halben Tag. Wer alle Berührungspunkte in einem CRM zusammenführt, klickt einen Export-Button, fünf Minuten.

4. Löschanfragen sauber umsetzen, auch bei Team-Zugriff

Das Recht auf Löschung nach Art. 17 DSGVO ist nicht absolut: was aus gesetzlichen Aufbewahrungspflichten resultiert (Kaufverträge, Rechnungen), bleibt liegen. Aber alles Weitere muss weg, inklusive Kopien, Backups, verknüpfter Dateien.

In der Praxis heißt das: eine Löschanfrage darf nicht nur den Datensatz im CRM entfernen, sondern muss auch nachgeordnete Systeme mitziehen. Wer den Interessenten auf einer Papierliste im Schrank stehen hat, muss das Blatt schreddern. Wer ihm eine Kopie des Exposés per WhatsApp geschickt hat, sollte die Historie prüfen. Die Verantwortung liegt bei Ihnen, nicht bei der Person, die die Anfrage stellt.

Für ein Maklerbüro mit Team empfehlen wir eine schriftliche Prozessbeschreibung: wer nimmt die Anfrage entgegen, wer setzt sie um, wer dokumentiert die Bestätigung. Ohne diesen Prozess landen Anfragen zwischen den Zuständigkeiten und werden zu spät oder gar nicht bearbeitet.

5. Werbeeinwilligung, §7 UWG ist strenger als die DSGVO

Die DSGVO regelt, wie Sie mit Daten umgehen dürfen. Ob Sie jemanden anschreiben oder anrufen dürfen, regelt zusätzlich das Gesetz gegen den unlauteren Wettbewerb (UWG). Und das ist deutlich strenger als viele annehmen.

Werbe-E-Mails, Werbe-SMS und Werbeanrufe an Privatpersonen sind ohne ausdrückliche vorherige Einwilligung unzulässig, mit engen Ausnahmen bei bestehenden Kundenbeziehungen. Das gilt auch für scheinbar harmlose Nachrichten wie „Hallo Frau Müller, wir haben ein neues Objekt, das zu Ihren Kriterien passt". Ohne dokumentierte Einwilligung ist auch das ein Rechtsverstoß, der abgemahnt werden kann.

Die Konsequenz für den Alltag: bei jedem neuen Interessenten muss klar dokumentiert sein, ob er der Kontaktaufnahme zu Werbezwecken zugestimmt hat, wann und in welchem Umfang. Ein modernes CRM zeigt diese Einwilligung als Feld direkt am Datensatz. Ohne Häkchen: keine automatischen Kampagnen an diesen Kontakt.

6. Datenschutzerklärung aktuell halten

Ihre Website muss eine Datenschutzerklärung enthalten, in der jede Datenverarbeitung genannt ist, mit Zweck, Rechtsgrundlage, Empfängern und Speicherdauer. Das ist keine Copy-Paste-Übung. Ein Generator liefert Ihnen ein Grundgerüst, aber jede eingesetzte Analyse-, Marketing- oder Formular-Software muss namentlich erscheinen. Wenn Sie ein neues Tool einführen, auch nur einen Chatbot, ein A/B-Testing-Werkzeug oder eine Terminbuchung -, gehört die Erklärung binnen weniger Tage angepasst.

Empfehlung: verankern Sie im internen Prozess „neues Tool einführen" den Punkt „Datenschutzerklärung ergänzen" als Pflichtfeld. Das nimmt zwei Minuten und erspart Ihnen die späteren Diskussionen mit einer Aufsichtsbehörde, ob die Erklärung „hinreichend transparent" war.

Was das mit Software zu tun hat

Alle sechs Punkte lassen sich mit Prozessen und Diszplin adressieren. Aber sie lassen sich deutlich einfacher adressieren, wenn Ihre Software die richtige Struktur mitbringt: ein Feld für die Werbeeinwilligung, ein Feld für den letzten Kontakt (Basis der automatischen Löschfrist), eine Export-Funktion für Auskunftsanfragen, eine dokumentierte Löschung mit Bestätigung.

Riventa ist genau darum so gebaut. Nicht weil Datenschutz ein Marketing-Feature ist, sondern weil ein CRM, das diese sechs Punkte nicht sauber abbildet, in einem Maklerbüro 2026 nicht mehr betriebsfähig ist.

Wenn Sie sich einen Nachmittag Zeit nehmen und die sechs Baustellen abarbeiten, gehören Sie zu den zwanzig Prozent der Büros, die das Thema wirklich im Griff haben. Es lohnt sich, nicht wegen der Bußgelder, sondern weil Sie damit die Grundlage für belastbare, langfristige Kundenbeziehungen legen.